本文最后更新于：1 年前

SSTI

sources:

https://docs.jinkan.org/docs/jinja2/templates.html#builtin-filters

https://jinja.palletsprojects.com/en/3.1.x/templates/

https://dormousehole.readthedocs.io/en/latest/

https://xz.aliyun.com/t/9584

2023FCTF热身赛filechecker_mini

打开题目，让我们上传一个文件：

桌面上随便丢了个php文件进去提交看看会有啥情况：

判断文件类型，(MIME绕过预定)

附件下载下来先看源码：

index.html：

可以看出该网页使用模块渲染将result值渲染进index对应位置，那么就看下后端代码app.py：

from flask import Flask, request, render_template, render_template_string
from waitress import serve
import os
import subprocess

app_dir = os.path.split(os.path.realpath(__file__))[0]
app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = f'{app_dir}/upload/'

@app.route('/', methods=['GET','POST'])
def index():
    try:
        if request.method == 'GET':
            return render_template('index.html',result="ヽ(=^･ω･^=)丿 ヽ(=^･ω･^=)丿 ヽ(=^･ω･^=)丿")

        elif request.method == 'POST':
            f = request.files['file-upload']
            filepath = os.path.join(app.config['UPLOAD_FOLDER'], f.filename)

            if os.path.exists(filepath) and ".." in filepath:
                return render_template('index.html', result="Don't (^=◕ᴥ◕=^) (^=◕ᴥ◕=^) (^=◕ᴥ◕=^)")
            else:
                f.save(filepath)
                file_check_res = subprocess.check_output(
                    ["/bin/file", "-b", filepath], 
                    shell=False, 
                    encoding='utf-8',
                    timeout=1
                )
                os.remove(filepath)
                if "empty" in file_check_res or "cannot open" in file_check_res:
                    file_check_res="wafxixi ฅ•ω•ฅ ฅ•ω•ฅ ฅ•ω•ฅ"
                return render_template_string(file_check_res)

    except:
        return render_template('index.html', result='Error ฅ(๑*д*๑)ฅ ฅ(๑*д*๑)ฅ ฅ(๑*д*๑)ฅ')

if __name__ == '__main__':
    serve(app, host="0.0.0.0", port=3000, threads=1000, cleanup_interval=30)

上面大家都用render_template()就你爱用render_template_string()是吧（指指点点，一眼模板注入，那么我们就希望file_check_res里有我们能够执行的rce代码。file_check_res哪来的？倒退往上看。

f.save(filepath)
file_check_res = subprocess.check_output(
	["/bin/file", "-b", filepath], 
	shell=False, 
	encoding='utf-8',
	imeout=1
	)
os.remove(filepath)

先保存filepath这样一个文件，subprocess.check_output(command)返回Linux命令行输出，然后再把filepath文件删除，那么这里的file_check_res就是file -b {filepath}的结果。往上看filepath其实就是将上传文件目录的绝对路径和该文件的文件名拼接起来来标定用户上传的这个文件在容器中的绝对位置。逻辑搞明白了，现在的重点就在于如何对一个文件使用file -b 命令后返回值中能回显我们所期望的值。动手操作下flie命令，发现其不会输出文件的内容只会输出其类型，