90_ 发表于 2013-1-7 21:23:29

Ecshop 后台getshell

首先 ecshop用的是smarty 这样就可以通过它的fetch函数来执行模板
而模板里面可以执行他定义的php代码，这样只要可以写出模板 然后找到调用就可以拿到shell了
但是ecshop似乎不支持{php}{/php}这个标签来执行php代码
admin/template.php
if ($_REQUEST['act'] == 'update_library')

{
    check_authz_json('library_manage');

    $html = stripslashes(json_str_iconv($_POST['html']));

    $lib_file = '../themes/' . $_CFG['template'] . '/library/' . $_POST['lib'] . '.lbi'; //模板文件

    $lib_file = str_replace("0xa", '', $lib_file); // 过滤 0xa 非法字符

    $org_html = str_replace("\xEF\xBB\xBF", '', file_get_contents($lib_file));

    if (@file_exists($lib_file) === true && @file_put_contents($lib_file, $html))//写出
    {
      @file_put_contents('../temp/backup/library/' . $_CFG['template'] . '-' . $_POST['lib'] . '.lbi', $org_html);
      make_json_result('', $_LANG['update_lib_success']);
    }
    else
    {
      make_json_error(sprintf($_LANG['update_lib_failed'], 'themes/' . $_CFG['template'] . '/library'));
    }
}
那么找个比较方便调用了模板的文件
index.php
if ($act == 'cat_rec')

{

    $rec_array = array(1 => 'best', 2 => 'new', 3 => 'hot');

    $rec_type = !empty($_REQUEST['rec_type']) ? intval($_REQUEST['rec_type']) : '1';

    $cat_id = !empty($_REQUEST['cid']) ? intval($_REQUEST['cid']) : '0';

    include_once('includes/cls_json.php');

    $json = new JSON;

    $result   = array('error' => 0, 'content' => '', 'type' => $rec_type, 'cat_id' => $cat_id);

    $children = get_children($cat_id);

    $smarty->assign($rec_array[$rec_type] . '_goods',      get_category_recommend_goods($rec_array[$rec_type], $children));    // 推荐商品

    $smarty->assign('cat_rec_sign', 1);

    $result['content'] = $smarty->fetch('library/recommend_' . $rec_array[$rec_type] . '.lbi');//使用了模板文件 该模板文件为recommend_best

      echo 'library/recommend_' . $rec_array[$rec_type] . '.lbi';

      echo $rec_array[$rec_type];

    die($json->encode($result));

}
那么就有利用方法了
post包到http://localhost/ec/admin/template.php?act=update_library
Post内容：
**** Hidden Message *****
密码c

作者：Cond0r

leehenwu 发表于 2013-1-8 16:50:58

学习一下

Antergone 发表于 2013-1-8 21:10:28

我勒个去。。。来看看

小明_ 发表于 2013-1-9 09:16:07

真的可以！嘿嘿！

qjf541502724 发表于 2013-1-9 13:12:22

楼主好淫

xiaolynn 发表于 2013-1-10 17:09:52

学习学习，，

xiaolynn 发表于 2013-1-10 17:10:08

学习学习，，

Diana 发表于 2013-9-18 03:25:44

{:soso_e122:}POST 收藏漏洞 感谢分享

KD、 发表于 2013-10-18 18:56:04

来看看，学习学习

陈臣 发表于 2013-10-18 23:18:08

学习了。。。。。。。。。。。。。。
页: [1] 2 3
查看完整版本: Ecshop 后台getshell