【SSTI模块注入】SSTI+Flask+Python（上）：基础知识

黑色地带（崛起）

已于 2022-07-25 09:24:47 修改

阅读量591

点赞数 1

文章标签：安全 python flask

于 2022-07-25 09:23:41 首次发布

本文链接：https://blog.csdn.net/qq_53079406/article/details/125959228

版权

render_template_string

一、SSTI注入：

1.1、简介：

(Server-Side Template Injection) 服务端模板注入

1、使用框架（MVC的模式），如python的flask，php的tp，java的spring等

2、用户的输入先进入控制器，导致服务器模板中拼接了恶意用户输入导致各种漏洞

3、根据请求类型和请求的指令发送给对应Model业务模型进行业务逻辑判断，数据库存取

4、通过模板，Web应用可以把输入转换成特定的HTML文件或者email格式，并最后把结果返回给View视图层，展示给用户

1.2、成因：

1、使用模板来提高开发效率，同时带来了安全问题

2、配置代码不规范、未过滤用户输入的数据导致模板可控

3、服务端接收了用户的恶意输入以后，未经任何处理就将其作为 Web 应用模板内容的一部分

4、模板引擎在进行目标编译渲染的过程中，执行了用户插入的可以破坏模板的语句，因而可能导致了敏感信息泄露、代码执行、GetShell 等问题

1.3、原理：

简介：

配置的不正确的使用以及没有对用户输入的数据进行有效的过滤导致的

render_template

1、指定模板文件进行渲染，在模板文件可以使用相应的模板格式的语法，如{{}}

2、变量的引用，写入到一个静态文件当中（无法进行SSTI注入）

render_template_string

对一个字符串进行渲染，同样在遇到有符合模板语法的内容时会进行解析

eg：

render_template_string("<h1>my old is {}".format(request.args.get('old')))

这里old是用户可控从url中传入的GET参数（符合模板语法格式，则被解析执行）

传入参数{{ 5*5 }}

会回显25

1.4、漏洞点：

使用模板的地方都可能出现 SSTI 漏洞，SSTI不只适用python

沙盒绕过是为所有的模板引擎设计出来的一种防护机制，不允许使用没有定义、声明的模块

1.5、利用：

基类–>子类–>危险函数

1、获取内置类所对应的类

__class__

2、拿到object基类

__bases__

3、获取子类列表

__subclasses__()

4、在子类中寻找可利用的类

二、模块：

2.1、简介：

即固定好格式，只需填充。

通过模块，实现逻辑与视图（界面与数据）分离，更容易、清楚且相对安全地编写前后端不同的逻辑，提升了开发效率，代码重用变得更加容易。

2.2、利用原理：

正常：用户输入作为模板中变量（编码转义）

非正常：用户输入作为模板的一部分（会被输出）

2.3、漏洞发现：

{% ... %} ：声明变量

{{ ... }} ：将表达式打印到模板输出

{# ... #} ：未包含在模板输出中的注释

eg：

{{3*3}}

输出9

则存在漏洞点

三、Flask

3.1、简介：

使用python编写的一个轻量级的web应用框架，模板引擎使用的是jinja2，遵循MVC模型。

MVC模型：M(model)模型，V(view)视图，C(controler)控制器。

模型：数据库的定义、管理，通过视图向用户展现数据，通过控制器控制查询的操作

视图：用于进行信息交互，向用户进行信息的展示等

控制器：用户在接收到视图信息之后，向模型发送指令