Flask-Jinja2_RCE漏洞CVE-2019-8341

Flask-Jinja2 RCE漏洞CVE-2019-8341

jinja2模板语言:

作为一些主流web框架(如Flask，Djngo)的数据渲染的底层调用，尤其是其模板语言，相当方便。

利用Jinja2进行后台(python)与前端(HTML)之间进行数据交互。

（1）创建html模板-Demo:

（2）加载模板

后台import jinja2

import jinja2
//path需要为当前python文件所在目录的完整路径
env = jinja2.Environment(loader=jinja2.FileSystemLoader(path))
//get_template内部的参数为html模板相对于该python文件所在目录的路径(相对路径)
temp = env.get_template('statics/template.html')

（3）模拟数据

确认中的数据的可选值

render_dict={}

（4）render渲染模板

temp_out = temp.render(content=render_dict['Content']...)
with open(os.path.join(path, 'statics/out.html'), 'w', encoding='utf-8') as f:
    f.writelines(temp_out)
    f.close()

CVE-2019-8341复现

环境搭建版本:

证明存在SSTI：

读取任意文件:

http://localhost:2333/?username=

命令执行:

http://localhost:2333/?username=

python魔术方法(沙箱)

绕过模拟的 Python 终端，最终实现命令执行

在 Python 的内建函数中，有一些函数可以帮助我们实现任意命令执行：

os.system() os.popen()
commands.getstatusoutput() commands.getoutput()
commands.getstatus()
subprocess.call(command, shell=True) subprocess.Popen(command, shell=True)
pty.spawn()

在 Python 中导入模块的方法通常有三种（xxx 为模块名称）：

import xxx
from xxx import *
__import__('xxx')
#可以通过路径引入模块:如linux系统中的Python的os模块的路径一般都是在/usr/lib/python2.7/os.py
>>import sys
>>sys.modules['os']='/usr/lib/python2.7/os.py'
>>import os

常见的危险函数:

execfile('/usr/lib/python2.7/os.py')
system('cat /etc/passwd')
---
import timeit
timeit.timeit("__import__('os').system('dir')",number=1)
---
eval('__import__("os").system("dir")')
---
import platform
print platform.popen('dir').read()

python内建函数

当我们不能导入模块，或者想要导入的模块被禁，那么我们只能寻求 Python 本身内置函数（即通常不用人为导入，Python 本身默认已经导入的函数）。我们可以通过可以通过 dir __builtin__ 来获取内置函数列表

在 Python 中，不引入直接使用的内置函数被成为 builtin 函数，随着 *builtin* 这个模块自动引入到环境中。

可以通过 *dict* 引入我们想要引入的模块。*dict* 的作用是列出一个模组/类/对象下面所有的属性和函数。这在沙盒逃逸中是很有用的,可以找到隐藏在其中的一些东西

创建对象及引用

常见两种方法:

#__mro类似于__base__，但是__mro__是追根溯源的，不是向上查找一级
().__class__.__bases__[0]
''.__class__.__mro__[2]

__subclasses__获取类的所有子类

前面同理就是为了获取两个类，这两个类中的__init__.__globals__中有os模块，用来执行命令：<class ‘site._Printer’>、<class ‘site.Quitter’>然后可以获取到os模块，利用os模块的popen执行命令，read函数获取回显。

jinjia2漏洞

Environment的实例方法from_string，存在RCE，该函数在内部实现逻辑中，存在exec函数去执行了，from_string函数参数中的jinja2的代码指令。

jinja2.Environment().from_string()

漏洞点:

jinja2.Environment().from_string('Hello'+username).render()

这行代码表示，将前端输入的username拼接到模板，此时username的输入没有经过任何检测

除了这种使用方式外，还有一种是使用Template的方法:

t=Template("Hello "+username)

return t.render()

可以看到同样可以成功

跟进Template可以看到同样使用了from_string方法

compile函数

跟进该函数前，先科普一个python内置函数compile

compile() 函数将一个字符串编译为字节代码。

#source -- 字符串或者AST（Abstract Syntax Trees）对象。。
#filename -- 代码文件名称，如果不是从文件读取代码则传递一些可辨认的值。
#mode -- 指定编译代码的种类。可以指定为 exec, eval, single。
compile(source, filename, mode[, flags[, dont_inherit]])