日志格式为时间，通过URL修改时间查找到较前的日志，查找关键字发现管理员账号密码。dirsearch扫出后台，登入，在后台出发现允许上传文件类型，添加一个php。网站采用Thinkphp,使用莲花一把梭出日志泄露。，读者请遵守相关法律法规，否则后果自负！本文章在取得授权的情况下进行的。随后一路绿灯，Getshell。漏洞已提交管理员修复。