SSTI 刷刷刷个题
今日靶场：
CTFSHOW
【2023 愚人杯】easy_ssti
好像没有什么有用的信息，经过尝试，在用F12键打开html网页源码之后得到提示
接下来直接访问app.zip下载压缩包
得到python代码
经过分析，这是一个简单的Flask应用，包含两个路由：
/hello/ 和 /hello/<name>
这两个路由分别处理不同的请求，并根据传入的参数渲染模板或返回字符串.
/hello/路由：
@app.route('/hello/')
def hello(name=None):return render_template('hello.html',name=name)这个路由没有接收任何参数，因此 name 默认为 None;
它调用了 render_template 函数，尝试渲染一个名为 hello.html 的模板文件，并将 name 传递给模板。
/hello/<name>路由：
@app.route('/hello/<name>')
def hellodear(name):if "ge" in name:return render_template_string('hello %s' % name)elif "f" not in name:return render_template_string('hello %s' % name)else:return 'Nonononon'这个路由接收一个动态参数 name
它根据 name 的值进行条件判断：
如果 name 中包含 ge ，则使用 render_template_string 渲染一个字符串模板；
如果 name 中不包含 f ，则同样使用 render_template_string渲染一个字符串模板；
如果 name 中既包含 ge 又包含 f ，则返回字符串 Nonononon 。
这样一来我们就可以控制 name 参数注入恶意的模版代码，使之在服务器端执行操作。
在此之前，先了解这么几个东东，因为后面要用到：
OS对象类：OS 是Python的一个标准库模块，提供了与操作系统交互的接口。在SSTI攻击中，攻击者常常尝试访问 OS 模块来执行系统命令。
作用：执行系统命令、访问文件系统、获取环境变量、进行进程管理
object类：object 是Python中所有类的基类，所有类都直接或间接继承自 object 。在SSTI中，它常被用作寻找危险类的起点。
或者说它是一个特殊的内置变量，它允许访问模板引擎的内部属性和方法。攻击者可以利用这一点进行读取文件、执行系统命令等非预期操作，也可以通过object来绕过过滤限制。
作用：作为类继承链的起点、通过 __subclasses__() 方法获取所有可用的子类、寻找包含危险函数或模块的类（如os、subprocess等）
popen函数：os.popen是os模块中的一个方法，用于创建到命令的管道，可以执行系统命令并获取输出。
作用：执行系统命令并获取输出、比 os.system() 更有用，因为它可以返回命令执行结果、
常用于读取文件、目录列表等操作
接下来找一下object
解释一下这个payload：
/hello/{{''.__class__.__bases__}} /hello/是目录，payload的后面{{''.__class__.__bases__}} 是Python表达式.'' 是一个空字符串; .__class__是Python中的一个特殊属性，用于获取对象的类（即类型）;
因此，.__class__ 的返回值是一个 str 类型。
.__bases__ 也是一个Python中的一个特殊属性，用于获取类的基类元组；
所以，{{''.__class__.__bases__}} 返回的是 str 类型的基类元组。
在 Python 中，object 是所有类的基类。因此，str 类型的基类元组中包含 object，也就可以通过这个payload找到object。
再看看有没有什么类可以用
这里主要由这篇博客引导着做，否则真没有任何思路
学习ssti-CSDN博客
里面主要提示
找catch_warnings，因为catch_warning是function具有__globals__
然后再通过__globals__里的builtins的__import__来getshell
os库中可以调用popen函数执行命令，再read读取到页面上。
在页面上查catch_warning的位置，再查class的位置就能大概查到是第几个类了。
接下来用 ls 查看当前目录，但app.py里面没有什么有用的，同样templates也没有什么
后面还是由大佬的wp得知 <class 'os._wrap_close'> 就是 os 对象类
同样用大佬的代码可以找出 os 在第几位：
ori_str = """就是放那堆妖魔鬼怪"""
ori_list = ori_str.split(",")
for index, item in enumerate(ori_list):if "os._wrap_close" in item:print(index)
搞进去运行
可以得到是132位（os对象类）,那就用上
接下来要拿到 popen 函数就需要先获取对象的 __init__ 属性，然后使用 __globals__ 获取函数作用域下方法，里面就包含 popen
终于出来了，接下来就可以执行想进行的操作了
获取当前文件目录：在原payload下加入 ('ls').read() 即可
发现这就是刚刚的app.py 没有东西
获取上级目录：('cd .. && ls').read()
（表示先cd .. 回到上级目录，再ls读取）
呜呼呼，发现flag了终于，接下来读取flag文件
但是别忘了一个事儿：py代码里得知屏蔽了 f 字符
我就是忘了这个，但是想不到解决办法，查询到利用通配符 *
即 ('cd .. && cat *lag').read()
不得不说，SSTI是真的很难。。