SSTI模版注入
1、概念
SSTI是一种常见的Web安全漏洞，它允许攻击者通过注入恶意模板代码，使服务器在渲染模板时执行非预期的操作。
（1）渲染模版
至于什么是渲染模版：服务器端渲染模板是一种Web开发技术，它允许在服务器端动态生成HTML页面或其他格式的输出内容，而不是在客户端（浏览器）生成。这种技术的核心是模板引擎，它允许开发者将动态内容嵌入到静态模板中，从而生成最终的页面
<1>模版引擎的作用
模版引擎的主要作用是将模板（一种包含占位符的静态文件）与数据（动态内容）结合，生成最终的输出内容。
<2>模版引擎的功能：
变量替换：将模板中的占位符替换为实际的数据。
条件语句：根据条件动态生成内容。
循环语句：根据数据集合生成重复的内容。
模版继承：允许一个模板继承另一个模板的结构。
而常见的模版引擎有：Django、jinja2、Twig、EJS
<3>服务器端渲染模版的工作原理
假设有一个Web应用，用户访问某个页面时，服务器需要动态生成HTML内容。
服务器端渲染模板的基本工作流程为：
用户请求页面：用户通过浏览器发送HTTP请求，请求某个页面。
服务器接收请求：服务器接收到请求后，解析请求参数。
加载模版文件：服务器加载预定义的模板文件，模板文件中包含占位符。
数据绑定：服务器将动态数据绑定到模板中的占位符
生成最终内容：模板引擎将模板和数据结合，生成最终的HTML内容。
返回响应：服务器将生成的HTML内容返回给浏览器，浏览器渲染并显示页面。
<4>示例 （使用Python的Jinja2模板引擎）
假设此刻有一个简单的web应用，使用Flask框架和Jinja2模板引擎来动态生成HTML页面。
模版文件（template.html）
<!DOCTYPE html>
<html>
<head><title>{{ title }}</title>
</head>
<body><h1>{{ heading }}</h1><p>{{ content }}</p>
</body>
</html>这个模板文件中包含了三个占位符：{{title}}、{{heading}} 和 {{content}}。
假如在Jinja2模版中，我们用Python代码这样来渲染文件（app.py）：
from flask import Flask, render_templateapp = Flask(__name__)@app.route('/')
def index():# 动态数据data = {'title': 'My Page','heading': 'Welcome to My Page','content': 'This is a dynamic content.'}# 使用render_template渲染模板return render_template('template.html', **data)if __name__ == '__main__':app.run(debug=True)在这个代码中：
1、render_template 函数 将模板文件 template.html 和动态数据 data 结合起来。
2、模板引擎会将 {{title} 替换为 "My Page", {{"heading"}} 替换为 'Welcome to My Page' , {{'content'}} 替换为 'This is a dynamic content'
3、最终生成的HTML内容会发送给浏览器。
然后当我们访问这个Web应用时，浏览器会收到以下HTML内容：
<!DOCTYPE html>
<html>
<head><title>My Page</title>
</head>
<body><h1>Welcome to My Page</h1><p>This is a dynamic content.</p>
</body>
</html>这个过程就是服务器端渲染模板。
（2）非预期操作
而非预期操作又指的是什么呢：别看这些词这么高大尚，其实通俗的讲就是指在软件或系统中执行的、未被设计或预期的操作。（非预期操作）在Web安全领域，非预期操作通常是指攻击者通过漏洞或缺陷，使应用程序执行了开发者未预期的操作.
<1>非预期操作的类型
信息泄露：攻击者通过漏洞获取服务器上的敏感信息，如配置文件内容、环境变量等。
代码执行：攻击者通过漏洞执行任意代码，从而控制服务器。
权限提升：攻击者通过漏洞提升系统权限，进一步控制服务器。
拒绝服务攻击（Dos）：攻击者通过漏洞使服务器无法正常提供服务。
输入验证不足、错误的逻辑实现、配置错误都是非预期操作的成因。
<2>示例（还是使用Python的Jinja2模板引擎）
同样假设我们有一个简单的Web应用，允许用户输入一些内容，然后将这些内容显示在页面上。但是，我们没有对用户输入进行过滤。
模版文件（template.html)
给一个html模版：
<!DOCTYPE html>
<html>
<head><title>User Input</title>
</head>
<body><p>You entered: {{ user_input }}</p>
</body>
</html>Python代码（app.py）：
from flask import Flask, request, render_templateapp = Flask(__name__)@app.route('/')
def index():# 获取用户输入user_input = request.args.get('input', '')# 渲染模板并显示用户输入return render_template('template.html', user_input=user_input)if __name__ == '__main__':app.run(debug=True)两种情况：
1、正常情况
如果用户通过URL /?input=Hello 访问页面，页面会显示：
<!DOCTYPE html>
<html>
<head><title>User Input</title>
</head>
<body><p>You entered: Hello</p>
</body>
</html>2、非预期操作
如果用户通过URL /?inpput={{5+3}} 访问页面，Jinja2模板引擎会执行 5+3 ，页面会显示：
<!DOCTYPE html>
<html>
<head><title>User Input</title>
</head>
<body><p>You entered: 8</p>
</body>
</html>这是开发者未预期的操作，因为用户输入的模板代码被模板引擎执行了，所以叫非预期操作。
那么要是再严重一点：
如果用户通过URL /?input={{config.items}} 访问页面，Jinja2模板引擎会执行 config.items() ，可能会返回应用程序的配置信息，导致信息泄露。
2、SSTi的原理
之前说模板引擎允许开发者将动态内容嵌入到静态模板中，以便生成最终的HTML页面或其他格式的输出。but，如果没有对用户输入进行严格的验证和过滤，攻击者可以注入恶意的模板代码，从而在服务器端执行一系列操作（非预期，不可知）。
3、SSTI的危害
所以总的来说还是有三个危害：
信息泄露；
代码执行；
权限提升
4、分类
SSTI 漏洞主要分为两类：简单的模板注入和复杂的模板注入。
（1）简单模版注入
攻击者直接注入模板代码，使服务器在渲染模板时执行恶意操作
（2）复杂模版注入
攻击者通过构造复杂的模板代码，绕过应用程序的输入验证和过滤机制。
5、例题
NSSCTF
【HDCTF 2023】SearchMeaster
启动
你可以使用POST请求给我发送DATA
也不知道发送什么，注意到题目search，用dirsearch扫描一下目录
结果扫了一下又没扫出来
那就还是用nikto扫一下ip
可以看到Target IP 为1.14.71.254
结果还是没连上
后面在端口前面加冒号：就连上了（我也纳闷，在kali里有时候接端口是空格，冒号不行，有时候又得冒号，但物理机url包是冒号的）
可以看到有一个composer.json可用
访问一下
直接得到提示是smart模版
说明存在ssti模版注入
返回原页面传 data={ ，报错，证明存在RCE漏洞(报错表明模板引擎尝试解析和执行了我传递的模板代码。)因为之前说过RCE漏洞是应用调用代码执行函数或系统命令执行函数，导致远程代码执行或系统命令执行 ，这里典型的是尝试执行了命令然后无果
这样一来就可以利用SSTI模版注入结合RCE漏洞执行命令来达到目的了
想确认smart模版的话试试{4*4}是否能回显16
可以看到有16，无疑存在smart模版 （没被骗haha）
那直接构造payload就可以了
data={if system('ls /f*')}{/if}smart模版引擎的条件语法
{if} {/if} 标签
{if}：开始条件判断；
{/if}:结束条件判断
在该模版引擎中执行 system函数 system()不用说了
'ls /f*':要执行的系统命令，用于列出 /f* (f字符开头，用于提高查找flag的效率)目录下的文件
执行后得到flag路径
继续替换system命令即可
data={if system('cat /flag_13_searchmaster')}{/if}get flag
