文件上传
分析文件/admin_system/include/lib/upfile.php
代码中接收path参数，然后进行转码处理，获取文件名后缀，拼接成完整路径，然后将文件上传到服务器。并没有对文件类型进行过滤，导致程序在实现上存在任意文件上传漏洞
任意文件读取
首先接受path参数，然后进行转码处理，在进行判断是否是一个目录，带入file_get_contents函数中执行，可以看到path参数并未进行任何过滤或处理，导致程序在实现上存在任意文件读取漏洞，可以读取网站任意文件，QYKCMS默认数据库配置文件存放在\include\config_db.php中
段代码中接收path参数，然后进行转码处理，