ssti注入以及攻防世界Web_python_template_injection
摘自https://www.cnblogs.com/wjw-zm/p/12741055.html，仅做个人收藏学习！
何为模板注入？
模板引擎可以让（网站）程序实现界面与数据分离，业务代码与逻辑代码的分离，这大大提升了开发效率，良好的设计也使得代码重用变得更加容易。
但是模板引擎也拓宽了我们的攻击面。注入到模板中的代码可能会引发RCE或者XSS。
flask基础
在学习SSTI之前，先把flask的运作流程搞明白。这样有利用更快速的理解原理。
路由
先看一段代码
from flask import flask
@app.route('/index/')
def hello_word():
return 'hello word'
route装饰器的作用是将函数与url绑定起来。例子中的代码的作用就是当你访问http://127.0.0.1：5000/index的时候，flask会返回hello word。
渲染方法
flask的渲染方法有render_template和render_template_string两种。
render_template()是用来渲染一个指定的文件的。使用如下
return render_template('index.html')
render_template_string则是用来渲染一个字符串的。SSTI与这个方法密不可分。
使用方法如下
html = 'This is index page
'
return render_template_string(html)
模板
flask是使用Jinja2来作为渲染引擎的。看例子
在网站的根目录下新建templates文件夹，这里是用来存放html文件。也就是模板文件。
test.py
from flask import Flask,url_for,redirect,render_template,render_template_string
@app.route('/index/')
def user_login():
return render_template('index.html')
/templates/index.html
<h1>This is index pageh1>
访问127.0.0.1:5000/index/的时候，flask就会渲染出index.html的页面。
模板文件并不是单纯的html代码，而是夹杂着模板的语法，因为页面不可能都是一个样子的，有一些地方是会变化的。比如说显示用户名的地方，这个时候就需要使用模板支持的语法，来传参。
例子
test.py
from flask import Flask,url_for,redirect,render_template,render_template_string
@app.route('/index/')
def user_login():
return render_template('index.html',content='This is index page.')
/templates/index.html
<h1>{{content}}h1>
这个时候页面仍然输出This is index page。
{{}}在Jinja2中作为变量包裹标识符。
模板注入
不正确的使用flask中的render_template_string方法会引发SSTI。那么是什么不正确的代码呢？
xss利用
存在漏洞的代码
@app.route('/test/')
def test():
code = request.args.get('id')
html = '''
%s
'''%(code)
return render_template_string(html)
这段代码存在漏洞的原因是数据和代码的混淆。代码中的code是用户可控的，会和html拼接后直接带入渲染。
尝试构造code为一串js代码。
将代码改为如下
@app.route('/test/')
def test():
code = request.args.get('id')
return render_template_string('{{ code }}
',code=code)
继续尝试
可以看到，js代码被原样输出了。这是因为模板引擎一般都默认对渲染的变量值进行编码转义，这样就不会存在xss了。在这段代码中用户所控的是code变量，而不是模板内容。存在漏洞的代码中，模板内容直接受用户控制的。
模板注入
不正确的使用flask中的render_template_string方法会引发SSTI。那么是什么不正确的代码呢？
目录：
（1）几种常用于ssti的魔术方法
（2）获取基类的几种方法
（3）获取基本类的子类
（4）利用
（5）读写文件
（6）shell命令执行
（7）绕过姿势
（8）实战（填坑中）
（9）参考（挖坑）
（10）补充
其它模板注入payload
目录：
- FreeMarker
- Velocity
- Smarty
- Twig
- Jade
Flask模板注入
解析：
众所周知ssti要被{{}}包括。接下来的代码均要包括在ssti中。
1.几种常用于ssti的魔术方法
| 1 2 3 4 5 6 7 8 9 |
__class__ 返回类型所属的对象
__mro__ 返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。
__base__ 返回该对象所继承的基类
// __base__和__mro__都是用来寻找基类的
__subclasses__ 每个新类都保留了子类的引用，这个方法返回一个类中仍然可用的的引用的列表
__init__ 类的初始化方法
__globals__ 对包含函数全局变量的字典的引用
__builtins__ builtins即是引用，Python程序一旦启动，它就会在程序员所写的代码没有运行之前就已经被加载到内存中了,而对于builtins却不用导入，它在任何模块都直接可见，所以可以直接调用引用的模块
|
2.获取基类的几种方法
[].__class__.__base__
''.__class__.__mro__[2]
().__class__.__base__
{}.__class__.__base__
request.__class__.__mro__[8] //针对jinjia2/flask为[9]适用
或者
[].__class__.__bases__[0] //其他的类似
3.获取基本类的子类
>>> [].__class__.__base__.__subclasses__()
['type'>, 'weakref'>, 'weakcallableproxy'>, 'weakproxy'>, 'int'>, 'basestring'>, 'bytearray'>, 'list'>, 'NoneType'>, 'NotImplementedType'>, 'traceback'>, 'super'>, 'xrange'>, 'dict'>, 'set'>, 'slice'>, 'staticmethod'>, 'complex'>, 'float'>, 'buffer'>, 'long'>, 'frozenset'>, 'property'>, 'memoryview'>, 'tuple'>, 'enumerate'>, 'reversed'>, 'code'>, 'frame'>, 'builtin_function_or_method'>, 'instancemethod'>, 'function'>, 'classobj'>, 'dictproxy'>, 'generator'>, 'getset_descriptor'>, 'wrapper_descriptor'>, 'instance'>, 'ellipsis'>, 'member_descriptor'>, 'file'>, 'PyCapsule'>, 'cell'>, 'callable-iterator'>, 'iterator'>, 'sys.long_info'>, 'sys.float_info'>, 'EncodingMap'>, 'fieldnameiterator'>, 'formatteriterator'>, 'sys.version_info'>, 'sys.flags'>, 'exceptions.BaseException'>, 'module'>, 'imp.NullImporter'>, 'zipimport.zipimporter'>, 'posix.stat_result'>, 'posix.statvfs_result'>, <class 'warnings.WarningMessage'>, <class 'warnings.catch_warnings'>, <class '_weakrefset._IterationGuard'>, <class '_weakrefset.WeakSet'>, <class '_abcoll.Hashable'>, 'classmethod'>, <class '_abcoll.Iterable'>, <class '_abcoll.Sized'>, <class '_abcoll.Container'>, <class '_abcoll.Callable'>, 'dict_keys'>, 'dict_items'>, 'dict_values'>, <class 'site._Printer'>, <class 'site._Helper'>, '_sre.SRE_Pattern'>, '_sre.SRE_Match'>, '_sre.SRE_Scanner'>, <class 'site.Quitter'>, <class 'codecs.IncrementalEncoder