CTF5 靶场渗透测试报告（NanoCMS 从信息泄露到 Getshell）

本文为自建靶场环境（Kali 192.168.11.128 → 靶机 192.168.11.130）的练习记录，非真实业务系统。

执行摘要：目标开放 22/25/80/110/111/139/143/445/901/3306。入口是 80 端口的 NanoCMS：/data/pagesdata.txt 可直接访问，泄露后台账号哈希（MD5 无盐），解密后登录后台；后台”新建页面”功能可写入 PHP 代码，落点为一句话木马 → 反弹 shell。另在 mailing list 处存在 SQL 注入，可拖库；提权通过 /home 下的笔记文件拿到 root 口令。

结论：完整链路是”敏感文件泄露 → 后台接管 → Getshell → 提权”。入口不是漏洞利用而是信息泄露，这类问题恰恰最容易被扫描器漏掉。

信息收集

主机探测

使用arp-scan -l发现目标靶机的IP地址是192.168.11.130。

1	arp-scan -l

$屏幕截图 2026\-01\-18 173943\.png$

端口扫描

使用nmap 192.168.11.130发现目标靶机开启了：22，25，80，110，111，139，143，445，901，3306端口。

1	nmap 192.168.11.130

$屏幕截图 2026\-01\-18 174025\.png$

漏洞扫描

尝试使用nmap扫描一下我们刚刚找到的开放端口，发现80端口下的内容是比较多的，开放了很多页面，还有sql注入等漏洞，这里或许是我们的一个突破口。

1	`nmap` --script=vuln -p22,25,80,110,111,139,143,445,901,3306 192.168.11.130

$image\.png$

Web漏洞

Nano CMS框架远程代码执行

我们尝试访问目标IP地址80端口的页面，通过浏览不同页面，发现网站的Blog模块使用的是NanoCMS

$image\.png$

这里我们先通过searchsploit nanocms搜索一下是否有现成的可以利用的漏洞。

1	searchsploit nanocms

$image\.png$

发现真的是存在一个远程代码执行，但是在当前页面下，我们貌似没有找到可以植入我们远程代码的地方，通过上网搜集资料发现Nano CMS是一个基于PHP的内容管理系统（CMS）。“ Nano CMS是您所能找到的最小的CMS。用户界面和功能非常非常简单和非常容易使用。Nano CMS的核心功能是基于文件并且可以执行根本不使用任何数据库，这使得安装起来超级容易只是提取就可以了。
还收集到一个比较关键的信息，是一个看起来比较敏感的路径**/data/pagesdata.txt**。

$image\.png$

尝试访问一下这个路径。

1	http://192.168.11.130/~andy/data/pagesdata.txt

$image\.png$

可以看到账号和密码但是被hash加密了"username";s:5:"admin";s:8:"password";s:32:"9d2f75377ac0ab991d40c91fd27e52fd"。
使用插件发现可是是通过MD5加密得到的密文。

$image\.png$

通过工具解密顺利得到明文。

$image\.png$

使用账号密码发现登陆成功。

$image\.png$

浏览页面发现在后台可以新建页面选项卡，在这里我们可以自己写入代码，尝试写入木马，直接创建一个一句话木马，直接创建成功。

$image\.png$

直接打开我们刚刚上传的shell文件。

$image\.png$

我们尝试用Antsword连一下，发现直接连接成功了。

$image\.png$

接着需要一个反向连接拿回交互式 shell。用的是公开的 PHP 反弹脚本，本地只需改两处：$yourip 改为攻击机 IP、$yourport 改为监听端口（本次 192.168.11.128:4444）。思路三步：① 脚本落地到可访问目录 ② 触发后由目标主动连回 ③ 攻击机用 nc 监听接收。完整脚本不在此贴出，避免被当作可直接复用的武器化代码。
在 kali 上开启监听后触发该脚本，发现监听成功。