记一次从零到getshell的渗透历程

0x00 前期

拿到测试范围清单后，首先用脚本获取了下各个子站的标题，基本都是XXX管理系统。浏览器查看后，各个子站也大同小异，纯登录系统，带验证码。这些系统基本都是jsp写的，逮到了两个没有验证码的小宝贝，一番暴力破解，小宝贝对我说：别爱我，没结果。又看到了两个站返回的Set-Cookie头：rememberMe=deleteMe; 很明显，这是Apache Shiro。打了一波exp，没有反应，放弃。搞了三天啥都没搞出来，和女朋友出去玩散散心，还是很高兴。

0x01 初显进展

测试范围内有六个门户网站，其中四个静态站（也不知道是不是伪静态，没拿下来），还有两个动态站。一个是Java写的，一个是PHP写的。出于对Java的敬畏之心，我对PHP下了手。是个伪静态站，URL是这样的：http://www.xxx.cn/index.php/lists/68.html，可是暴露的很明显。尝试还原为参数值，失败，显示下图页面：

很典型的MVC架构站，尝试指纹识别、浏览robots.txt，一无所获。看了下前台功能，除了浏览新闻就是下载文件，下载的文件名经过了MD5 hash，放弃任意文件下载。没有什么其他的功能点了，啥都不用考虑了，扫Web目录。

扫到了composer.json、composer.lock、.htaccess以及readme.md。前两个是composer包管理器的文件，.htaccess是Apache的配置文件，能够直接下载有点奇怪。重头戏就在readme.md了，查看得知此CMS名为PCCMS，基于ThinkPHP 5.1开发。百度了一下，并没有发现PCCMS的源代码，也没有相关漏洞信息，太小众了吧。以前也见过很多识别不出来的CMS，可能有的人就是喜欢用小众CMS？百度啥也没找到，谷歌也不用说了，中国人自己都用的不多，哪有外国人去关注这小CMS。</