YYCMS音乐程序v4.0 VIP版 默认数据库下载漏洞

YYCMS音乐程序 v4.0 VIP版，只是看了一下数据库文件 conn.asp 文件里 数据库地址是  

YYCMS_Data/#67tingdata.asa.刚开始以为这个是默认的数据库， 后来查看数据库文件发现 ，数据库  

是 /YYCMS_Data/#user.asa1  

漏洞一：   
YYCMS_Data/#user.asa1 没有做防下载处理 老方法 修改#号 为 % 23(中间空格去掉) 可以直接下载   

漏洞二：   
后台地址 yyadmin/admin_login.asp 后台文件中 还有个 上传页面可以直接访问/upload.html 

大家可以自己上传测试