SSTI基础知识

news/2024/5/17 2:22:24/文章来源:https://www.cnblogs.com/meng-han/p/16749832.html

我们用如下环境进行讲解(flask-jinja2)：

from flask import Flask

from flask import render_template

from flask import request

from flask import render_template_string

app = Flask(__name__)

@app.route('/')

def index():

　　code = request.args.get('id')

　　template = '''

　　'''%(code)

　　return render_template_string(template)

if __name__ == '__main__':

　　app.run()

关于flask/jinja2的基础知识点这里不过多讲解，自己去查找文档学习，了解里面的路由、渲染等基础知识即可，毕竟学习还是要学会看文档的啦。

关于利用payload时python知识讲解

　　面向对象语言的方法来自于类，对于python，有很多好用的函数库，我们经常会再写Python中用到import来引入许多的类和方法，python的str(字符串)、dict(字典)、tuple(元组)、list(列表)这些在Python类结构的基类都是 object ，而object拥有众多的子类。因此我们在利用的时候主要目的就是先寻找object类，然后通过object去寻找能实现我们目的的类，例如能实现我们文件读取的类：<class '_frozen_importlib_external.FileLoader'>（python3下），这个类下面有可以实现文件读取的函数，我们等会介绍。

下面说一下如何寻找我们的object类：

先介绍一个python的魔术属性class，

__class__：用来查看变量所属的类，根据前面的变量形式可以得到其所属的类。 __class__ 是类的一个内置属性，表示类的类型，返回 <type 'type'> ；也是类的实例的属性，表示实例对象的类。

示例：

可以看到我们的单引号属于str类，这里我们也可以换成其他的。

可以看到我们的元组类、字典类、列表类。

下面介绍另一个魔术属性bases，

__bases__：用来查看类的基类，也可以使用数组索引来查看特定位置的值。通过该属性可以查看该类的所有直接父类，该属性返回所有直接父类组成的元组（虽然只有一个元素）。

这里我们用它来寻找我们的基类object，示例如下图：

当然获取基类还能用 __mro__ 方法，__mro__ 方法可以用来获取一个类的调用顺序，比如

因为返回的都是元组形式，所以我们要用下标来定位我们的object类。

下面介绍魔术属性subclasses()

__subclasses__()：查看当前类的子类组成的列表，即返回基类object的子类。

示例如下图：

可以看到有好多的类，但是我们要寻找我们需要使用的类（自己积累），比如有文件读取函数的类，<class '_frozen_importlib_external.FileLoader'>要注意我这里时p3的环境，和p2环境有区别，不过都是同样的思路，然后我们自己写脚本来获取我们利用类的下标，比如我这里这个类的下标时99。这个东西不同环境是不一样的，所以你不能只是照抄别人的payload。找到类了，如何寻找我们的方法呢，

下面介绍魔术属性dict

__dict__：返回这个类中已经定义了的属性和方法

在这里面可以看到我们的get_data函数。（补充：利用__doc__魔术方法可以查看函数的信息）

所以payload如下''.__class__.__mro__[1].__subclasses__()[99].__dict__['get_data'](0,'/etc/passwd')注意函数参数要用小括号。

这里补充一点我自己的经验，我们找到了这个类<class '_frozen_importlib_external.FileLoader'>，再往下究竟如何找函数呢，我先是找到了_frozen_importlib_external这个py库的源码，然后找到了下面的FileLoader类，去里面找函数，如下图演示。