web buuctf [WesternCTF2018]shrine

考点：模板注入（flask）

1.打开整理代码

import flask
import os
app = flask.Flask(__name__)
app.config['FLAG'] = os.environ.pop('FLAG')

//显示代码
@app.route('/')
def index():
    return open(__file__).read()


@app.route('/shrine/')
def shrine(shrine):
    def safe_jinja(s):
        s = s.replace('(', '').replace(')', '')
        blacklist = ['config', 'self']
        return ''.join(['{{% set {}=None%}}'.format(c)for c in blacklist]) + s
    return flask.render_template_string(safe_jinja(shrine))

if __name__ == '__main__':
   app.run(debug=True)

2.为了方便理解，把代码中用到的整理一下

os  python   文件目录方法模块，用来处理文件和目录
os.environ   os模块环境变量
pop()        pop() 方法删除字典给定键 key 所对应的值，返回值为被删除的值

我们就可以理解flag在哪里了

app = flask.Flask(__name__)
app.config['FLAG'] = os.environ.pop('FLAG')

//flask模块生成了app ，在app的config内定义了FLAG参数，参数的值为os环境变量的FLAG值

3.查看路由文件，很显然需要访问/shrine，

flask模板，看看是否有模板注入，在路径后添加注入，{{7*7}}

 执行了里面的运算，存在模板注入

4.查看代码，里面相当于两个过滤

一个是replace，对（）分别变成空

一个是黑名单，不允许直接传参config或者self

根据前面分析我们需要看到config，这里面应该有一个FLAG的值

利用python里面的内置函数，比如url_for和get_flashed_messages

config 对象:

config 对象就是Flask的config对象，也就是 app.config 对象。

{{ config.SQLALCHEMY_DATABASE_URI }}

url_for() 方法:

url_for() 会返回视图函数对应的URL。如果定义的视图函数是带有参数的，则可以将这些参数作为命名参数传入。

get_flashed_messages() 方法：

返回之前在Flask中通过 flash() 传入的闪现信息列表。把字符串对象表示的消息加入到一个消息队列中，然后通过调用 get_flashed_messages() 方法取出(闪现信息只能取出一次，取出后闪现信息会被清空)。
 

5.注入{{url_for.__globals__}}查看里面的变量信息 

 因为我们需要查到当前的配置变量

注入{{url_for.__globals__['current_app'].config}}

 flag{0d453170-33ef-4e23-a92f-d543b39a2e21}

用get_flashed_messages() 是一样的。