首先进来看到url很熟悉，直接访问/user/member/index，发现爆错爆出了版本号


随后去网上搜索thinkphp 6.0漏洞，发现了最近的下面这篇文章
https://www.uedbox.com/post/65126/

该漏洞可以在目标环境开启session的条件下任意创建文件，且在特定情况下可以getshell。
下面尝试了一下，大写的惊喜。

随后查看了phpinfo()、蚁剑进行连接,发现disable_function过滤了很多函数，直接上蚁剑的bypass插件绕过，在根目录下发现readflag，执行得到flag