搜索

[11445] 2017-06-11_FlaskJinja2开发中遇到的的服务端注入问题研究

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-11_FlaskJinja2开发中遇到的的服务端注入问题研究 F l a s k   J i n j a 2 开 发 中 遇 到 的 的 服 务 端 注 入 问 题 研 究 F o r r e s t X 3 8 6   F r e e B u f   2 0 1 7 - 0 6 - 1 1 0 × 0 0 .   前 言 前 言   作 为 一 个 安 全 工 程 师 ， 我 们 有 义 务 去 了 解 漏 洞 产 生 的 影 响 ， 这 样 才 能 更 好 地 帮 助 我 们 去 评 估 风 险 值 。 本 篇 文 章 我 们 将 继 续 作 为 一 个 安 全 工 程 师 ， 我 们 有 义 务 去 了 解 漏 洞 产 生 的 影 响 ， 这 样 才 能 更 好 地 帮 助 我 们 去 评 估 风 险 值 。 本 篇 文 章 我 们 将 继 续 研 究 研 究 F l a s k / J i n j a 2   开 发 中 遇 到 的 开 发 中 遇 到 的 S S T I   （ 服 务 端 模 板 注 入 ） 问 题 ， （ 服 务 端 模 板 注 入 ） 问 题 ，   如 果 你 从 未 听 过 如 果 你 从 未 听 过 S S T I   或 者 没 有 弄 清 楚 它 到 底 是 个 什 么 东 或 者 没 有 弄 清 楚 它 到 底 是 个 什 么 东 东 ， 建 议 您 最 好 先 阅 读 一 下 东 ， 建 议 您 最 好 先 阅 读 一 下 这 篇 文 章 < 点 击 阅 读 原 文 查 看 链 接 > 。 。 0 × 0 1 .   测 试 代 码 测 试 代 码 为 了 更 好 地 演 示 F l a s k / J i n j a 2   开 发 中 的 S S T I 问 题 ， 我 们 搭 建 一 个 小 的 P O C 程 序 ( 基 于 F l a s k   框 架 ) ， 主 要 由 两 个 p y t h o n 脚 本 组 成 ： F l a s k - t e s t . p y
一 些 开 发 者 可 能 认 为 为 一 个 简 单 的 4 0 4 错 误 页 面 去 单 独 创 建 一 个 模 板 文 件 是 多 余 的 ， 他 们 更 喜 欢 在 4 0 4   视 图 函 数 中 用 模 板 字 符 串 （ 正 如 上 述 测 试 代 码 中 的 p a g e _ n o t _ f o u n d 函 数 中 的 t e m p l a t e 字 符 串 ） 代 替 单 独 的 4 0 4 模 板 文 件 ；   一 些 开 发 者 还 会 在 返 回 的 错 误 页 面 中 提 示 用 户 是 哪 一 个 U R L 导 致 了 4 0 4 错 误 ， 但 他 们 不 把 错 误 的 U R L 传 递 给 r e n d e r _ t e m p l a t e _ s t r i n g 模 板 上 下 文 ， 而 是 喜 欢 用 % s 动 态 地 将 问 题 U R L 传 递 给 模 板 字 符 串 ， 这 些 看 起 来 都 很 O K 。 但 实 际 上 真 的 是 这 样 的 吗 ， 让 我 们 接 着 往 下 看 0 × 0 2 .   r e n d e r _ t e m p l a t e _ s t r i n g   函 数 中 默 认 上 下 文 对 象 引 起 的 函 数 中 默 认 上 下 文 对 象 引 起 的 S S T I 问 题 问 题 我 们 开 始 测 试 ， 4 0 4 函 数 功 能 没 得 问 题 ， 确 实 显 示 了 错 误 信 息 ， 并 指 出 哪 一 个 U R L 导 致 了 此 问 题
到 这 里 ， 很 多 人 可 能 都 想 到 了 这 个 4 0 4 函 数 存 在 的 问 题 ， 对 ， 就 是 X S S ， 是 的 ， 的 确 存 在 X S S 漏 洞 ， 这 也 属 于 S S T I ， 但 这 篇 文 章 不 想 讨 论 这 一 点 ，   如 果 你 再 深 入 思 考 一 下 ， 可 能 会 发 现 这 里 存 在 代 码 注 入 ， 比 如 当 我 们 的 U R L 是 下 面 这 样 ， U R L 中 包 含 了 J i n j i a 2 语 法 表 达 式 ： h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { 8 + 8 } } 我 们 发 现 模 板 引 擎 执 行 了 8 + 8 ， 并 返 回 了 结 果 ， 这 是 一 个 简 单 的 S S T I 问 题 ， 我 们 再 来 看 看 其 他 有 趣 的 S S T I   问 题 ，   我 们 来 看 看 r e n d e r _ t e m p l a t e _ s t r i n g   函 数 的 定 义 ： 函 数 的 定 义 ： d e f   r e n d e r _ t e m p l a t e _ s t r i n g ( s o u r c e ,   * * c o n t e x t ) : " " " R e n d e r s   a   t e m p l a t e   f r o m   t h e   g i v e n   t e m p l a t e   s o u r c e   s t r i n g w i t h   t h e   g i v e n   c o n t e x t . : p a r a m   s o u r c e :   t h e   s o u r c e c o d e   o f   t h e   t e m p l a t e   t o   b e r e n d e r e d : p a r a m   c o n t e x t :   t h e   v a r i a b l e s   t h a t   s h o u l d   b e   a v a i l a b l e   i n   t h e c o n t e x t   o f   t h e   t e m p l a t e . " " " c t x   =   _ a p p _ c t x _ s t a c k . t o p c t x . a p p . u p d a t e _ t e m p l a t e _ c o n t e x t ( c o n t e x t ) r e t u r n   _ r e n d e r ( c t x . a p p . j i n j a _ e n v . f r o m _ s t r i n g ( s o u r c e ) , c o n t e x t ,   c t x . a p p ) 这 里 有 两 个 参 数 ， 一 个 是 s o u r c e ， 很 简 单 就 是 需 要 渲 染 的 模 板 字 符 串 ，   另 一 个 是 个 包 裹 关 键 字 传 递 参 数 （ 字 典 ） ，   表 示 的 是 模 板 上 下 文 ， 这 里 我 们 就 简 单 说 一 下 这 个 F l a s k / J i n j i a 2 开 发 中 的 模 板 上 下 文 。 主 要 有 三 个 上 下 文 ， 一 个 是 J i n j i a   g l o b a l s < 点 击 阅 读 原 文 查 看 链 接 >   ( h t t p : / / j i n j a . p o c o o . o r g / d o c s / d e v / t e m p l a t e s / # b u i l t i n - g l o b a l s ) 一 个 是 F l a s k   T e m p l a t e   g l o b a l s < 点 击 阅 读 原 文 查 看 链 接 >   ( h t t p : / / f l a s k . p o c o o . o r g / d o c s / 0 . 1 0 / t e m p l a t i n g / # s t a n d a r d - c o n t e x t )
最 后 一 个 是 开 发 者 自 己 显 示 添 加 的 （ 这 里 暂 且 不 表 ） ， 前 两 个 都 是 默 认 内 置 的 （ 也 就 是 上 述 代 码 中 c o n t e x t 参 数 默 认 值 ） ， 这 两 个 是 我 们 要 讨 论 的 r e n d e r _ t e m p l a t e _ s t r i n g   默 认 上 下 文 对 象 之 默 认 上 下 文 对 象 之 r e q u e s t 对 象 对 象 经 过 一 番 调 查 ， 我 们 发 现 F l a s k   T e m p l a t e   g l o b a l s   中 有 一 个 r e q u e s t 对 象 ， 它 表 示 当 前 请 求 对 象 ( f l a s k . r e q u e s t ） , 它 和 你 在 视 图 代 码 中 用 到 的 r e q u e s t 对 象 （ 就 是 f l a s k . r e q u e s t ） 一 样 ， 包 含 了 所 有 的 请 求 上 下 文 信 息 ， r e q u e s t   对 象 中 包 含 一 个 e n v i r o n 对 象 ， e n v i r o n 是 一 个 字 典 ， 包 含 了 所 有 的 服 务 端 环 境 变 量 信 息 ， 这 个 e n v i r o n 中 有 一 个 k e y ： w e r k z e u g . s e r v e r . s h u t d o w n ， 这 个 k e y 指 向 一 个 方 法 ， 这 个 方 法 是 s h u t d o w n _ s e r v e r ， 就 是 用 来 关 闭 服 务 的 ， 很 显 然 这 可 以 用 来 进 行 D O S 攻 击 ， 比 如 执 行 下 面 的 U R L ， 就 可 以 关 闭 应 用 程 序 服 务 ： < 点 击 阅 读 原 文 查 看 链 接 > h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { r e q u e s t . e n v i r o n [ ' w e r k z e u g . s e r v e r . s h u t d o w n ' ] ( ) } } 幸 亏 生 产 环 境 用 的 是 g u n i c o r n 这 样 的 W S G I   服 务 器 而 不 是 w e r k z e u g ， 这 样 才 不 会 造 成 更 大 影 响 r e n d e r _ t e m p l a t e _ s t r i n g   默 认 上 下 文 对 象 之 默 认 上 下 文 对 象 之 c o n f i g 对 象 对 象 这 c o n f i g 对 象 也 是 一 个 F l a s k   t e m p l a t e   g l o b a l ， 它 代 表 中 当 前 配 置 文 件 对 象 ， 也 就 是 f l a s k . c o n f i g   中 C o n f i g 对 象 实 例 （ 源 代 码 f l a s k / c o n f i g . p y ） 它 是 一 个 类 似 字 典 的 对 象 ， 包 含 了 应 用 程 序 所 有 的 配 置 文 件 信 息 （ 你 所 有 的 用 a p p . c o n f i g . x x x   |   a p p . c o n f i g [ ' x x x ' ]   配 置 信 息   都 在 c o n f i g 这 个 上 下 文 对 象 中 ） ， 在 很 多 的 例 子 中 ， 这 个 c o n d f i g 对 象 包 含 了 很 多 敏 感 的 信 息 ， 比 如 数 据 库 连 接 信 息 ， 连 接 第 三 方 服 务 的 S E C R E T _ K E Y 等 执 行 下 面 的 U R L ， 就 可 以 获 取 当 前 应 用 程 序 所 有 的 配 置 信 息 < 点 击 阅 读 原 文 查 看 链 接 >     h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g . i t e m s ( ) } }
可 以 看 到 我 们 确 实 获 取 到 了 很 多 敏 感 的 信 息 ， 包 括 数 据 库 连 接 的 密 码 ,   所 以 不 要 认 为 把 敏 感 信 息 保 存 在 环 境 变 量 中 就 是 安 全 的 。 0 × 0 3 .   反 思 反 思 r e n d e r _ t e m p l a t e _ s t r i n g   默 认 上 下 文 对 象 之 默 认 上 下 文 对 象 之 c o n f i g 对 象 对 象 0 × 0 2 节 已 经 提 到 过 ， r e n d e r _ t e m p l a t e _ s t r i n g   默 认 上 下 文 对 象 之 c o n f i g 对 象 是 f l a s k . c o n f i g 中 c o n f i g 对 象 的 实 例 ， 它 是 一 个 类 似 字 典 的 对 象 ， c o n f i g 上 下 文 对 象 有 一 些 非 常 有 意 思 的 成 员 方 法 ， 比 如 ： f r o m _ e n v v a r   ,   f r o m _ o b j e c t   , f r o m _ p y f i l e   ,   当 然 还 有 一 个 成 员 属 性 r o o t _ p a t h 这 里 我 们 先 研 究 其 成 员 方 法 f r o m _ o b j e c t ,   源 代 码 如 下 ： 这 段 代 码 意 思 就 是 ， 如 果 传 入 f r o m _ o b j e c t 方 法 的 参 数 o b j 是 s t r ｜ u n i c o d e 类 型 ， 那 么 就 载 入 o b j 所 代 表 的 的 模 块 ， 然 后 将 参 数 o b j 所 代 表 的 模 块 中 所 有 的 大 写 属 性 加 入 到 当 前 c o n f i g 对 象 实 例 中 我 们 来 测 试 一 下 < 点 击 阅 读 原 文 查 看 链 接 > h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g . f r o m _ o b j e c t ( ‘ o s ’ ) } } 这 个 u r l 就 是 调 用 F l a s h   T e m p l a t e   G l o b a l s   中   c o n f i g 上 下 文 对 象 中 的 f r o m _ o b j e c t 方 法 载 入 o s 模 块 ， 并 将 o s 模 块 中 的 大 写 属 性 加 入 c o n f i g 对 象 实 例 中 我 们 先 来 看 一 下 o s 模 块 中 有 哪 些 大 写 属 性 值 ,   下 面 是 一 段 测 试 代 码 ， 用 来 输 出 O S 模 块 中 所 有 的 大 写 属 性 及 其 值 i m p o r t   o s f o r   k e y   i n   d i r ( o s ) : i f   k e y . i s u p p e r ( ) : p r i n t   k e y ,   '   ' ,   g e t a t t r ( o s ,   k e y )
我 们 执 行 一 下 下 面 这 个 U R L ， 看 看 是 否 真 的 导 入 了 指 定 模 块 （ 这 里 指 的 是 o s 一 些 大 写 属 性 ， 当 然 也 包 括 一 些 o s 模 块 内 置 方 法 ） 中 大 写 属 性 到 当 前 上 下 文 对 象 c o n f i g 中 < 点 击 阅 读 原 文 查 看 链 接 > h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g . i t e m s ( ) } }
恩 ， 确 实 导 入 了 O S 模 块 中 所 有 大 写 属 性 ， 其 实 这 里 给 我 们 提 供 了 一 个 思 路 ， 我 们 可 以 通 过 S S T I 漏 洞 执 行 c o n f i g 上 下 文 对 象 中 f r o m _ o b j e c t 这 类 的 方 法 导 入 一 些 模 块 ， 然 后 寻 找 可 以 c a l l a b l e d 属 性 ， 以 此 来 绕 过 J i n j i a 2 模 板 沙 盒 。 0 × 0 4 .   总 结 总 结 本 篇 文 章 是 我 对 F l a s k / J i n j i a 2   开 发 中 遇 到 的 一 些 问 题 的 初 步 研 究 ， c o n f i g 这 个 上 下 文 对 象 其 实 还 有 一 些 其 他 的 利 用 方 式 ， 危 害 也 更 大 些 ，   我 会 在 下 篇 文 章 中 涉 及 O r i g i n   R e f e r :   h t t p s : / / n v i s i u m . c o m / b l o g / 2 0 1 6 / 0 3 / 0 9 / e x p l o r i n g - s s t i - i n - f l a s k - j i n j a 2 /       < 点 击 阅 读 原 文 查 看 链 接 > * 本 文 作 者 F o r r e s t X 3 8 6 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理