go_ssti风险

admin

136723
文章

112
评论

2024年10月7日13:29:44评论14 views字数 4425阅读14分45秒阅读模式

简介

这篇文章中，主要讲解Go场景下SSTI风险

环境记录

详见下文具体代码

从SSTI开始

SSTI（Server-Side Template Injection，服务端模板注入）是一种Web应用漏洞，发生在应用程序使用不安全的模板引擎进行服务器端模板渲染时。攻击者通过在用户输入中注入恶意模板代码，服务器在渲染模板时执行了这些代码，从而导致执行任意代码、窃取数据或执行其他恶意操作。

其中：常见的模板引擎如Jinja2（Python）、Thymeleaf（Java）、Smarty（PHP）等如果没有对用户输入进行适当的过滤和转义，就有可能导致SSTI漏洞。

攻击流程

发现模板渲染位置：攻击者通过各种输入字段，尝试注入模板表达式，观察输出中的变化，以确定是否存在模板注入点。
模板注入：一旦发现模板渲染，攻击者可以通过注入模板引擎的特殊语法执行恶意代码。例如，在Jinja2中注入{{ 7*7 }}，如果返回49，则表示可以注入模板代码。
代码执行：通过进一步构造模板表达式，攻击者可能最终执行任意代码，获取敏感数据，甚至完全控制服务器。

预防措施

避免直接使用用户输入进行模板渲染：不信任用户的输入，尽量使用安全的模板引擎或避免用户控制的输入直接渲染到模板中。
对用户输入进行严格过滤：可以使用白名单来限制允许的输入。
限制模板引擎功能：有些模板引擎提供了沙盒模式，限制了模板中能够执行的操作，以防止恶意代码的执行。
安全审计和测试：通过静态代码分析、渗透测试和自动化扫描工具检测可能的SSTI漏洞。

Go语言中的SSTI

在 Go 语言中，SSTI（服务器端模板注入）问题通常出现在使用不安全的模板引擎进行用户输入渲染时。Go 标准库中提供的 html/template 和 text/template 两种模板引擎，前者是为防范 XSS（跨站脚本攻击）设计的，默认会对 HTML 进行自动转义，因此较为安全。而后者则没有自动转义功能，如果使用不当，则可能导致 SSTI 或其他代码注入风险

一个go语言的demo

package main

import (
    "os"
    "text/template"
)

func main() {
    // 构建模板
    tmpl, err := template.New("").Parse("你好，{{ . }}")
    if err != nil {
        panic(err)
    }

    err = tmpl.Execute(os.Stdout, "冰镇")
    if err != nil {
        panic(err)
    }
}

>>>
[root@localhost jsonparser-demo]# go run go_ssti_one.go 
你好，冰镇

自定义一个靶场练习

package main

import (
    "fmt"
    "net/http"
    "text/template"
)


type User struct {
    Id     int
    Name   string
    Passwd string
}

func sstiHandler(w http.ResponseWriter, r *http.Request) {
    // 解析用户输入
    userInput := r.URL.Query().Get("input")
    user := &User{1, "admin", "laotie233"}

    // 使用text/template不安全地渲染用户输入
    tmpl, err := template.New("ssti").Parse(userInput)
    if err != nil {
        http.Error(w, "Error parsing template", http.StatusInternalServerError)
        return
    }

    // 执行模板并将结果输出
    err = tmpl.Execute(w, user)
    if err != nil {
        http.Error(w, "Error executing template", http.StatusInternalServerError)
        return
    }
}

func homeHandler(w http.ResponseWriter, r *http.Request) {
    homeHTML := `
        <!DOCTYPE html>
        <html lang="en">
        <head>
            <meta charset="UTF-8">
            <meta name="viewport" content="width=device-width, initial-scale=1.0">
            <title>SSTI Vulnerable Web App</title>
        </head>
        <body>
            <h1>SSTI Vulnerable Web App</h1>
            <p>Enter a template expression to test SSTI:</p>
            <form action="/ssti" method="get">
                <input type="text" name="input" placeholder="Enter your template" />
                <button type="submit">Submit</button>
            </form>
            <p>Try submitting something to test the vulnerability.</p>
        </body>
        </html>
    `

    fmt.Fprint(w, homeHTML)
}

func main() {
    http.HandleFunc("/", homeHandler)
    http.HandleFunc("/ssti", sstiHandler)

    // 启动服务器
    fmt.Println("Server is running on http://xxxxx:8080")
    http.ListenAndServe(":8080", nil)
}

访问主页如下

go_ssti风险

获取admin账号密码(敏感信息泄露)

payload: {{.passwd}}

go_ssti风险

payload: {{.}}

go_ssti风险

XSS

payload: <script>alert('xss')</script>

go_ssti风险

命令执行&文件读取

利用前提，代码中有调用相关指令点

新增如下演示代码

"exec": func(command string) string {
            // 执行系统命令，模拟RCE漏洞
            out, err := exec.Command("sh", "-c", command).Output()
            if err != nil {
                return err.Error()
            }
            return string(out)
        },

完整代码如下

package main

import (
    "fmt"
    "net/http"
    "os"
    "os/exec"
    "text/template"
)


type User struct {
    Id     int
    Name   string
    Passwd string
}

func sstiHandler(w http.ResponseWriter, r *http.Request) {
    // 解析用户输入
    userInput := r.URL.Query().Get("input")
    user := &User{1, "admin", "laotie233"}

    // 使用text/template不安全地渲染用户输入
    tmpl, err := template.New("ssti").Funcs(template.FuncMap{
        "exec": func(command string) string {
            // 执行系统命令，模拟RCE漏洞
            out, err := exec.Command("sh", "-c", command).Output()
            if err != nil {
                return err.Error()
            }
            return string(out)
        },
        "readFile": func(filePath string) string {
            // 读取文件，模拟文件读取漏洞
            content, err := os.ReadFile(filePath)
            if err != nil {
                return err.Error()
            }
            return string(content)
        },
    }).Parse(userInput)
    if err != nil {
        http.Error(w, "Error parsing template", http.StatusInternalServerError)
        return
    }

    // 执行模板并将结果输出
    err = tmpl.Execute(w, user)
    if err != nil {
        http.Error(w, "Error executing template", http.StatusInternalServerError)
        return
    }
}

func homeHandler(w http.ResponseWriter, r *http.Request) {
    homeHTML := `
        <!DOCTYPE html>
        <html lang="en">
        <head>
            <meta charset="UTF-8">
            <meta name="viewport" content="width=device-width, initial-scale=1.0">
            <title>SSTI Vulnerable Web App</title>
        </head>
        <body>
            <h1>SSTI Vulnerable Web App</h1>
            <p>Enter a template expression to test SSTI:</p>
            <form action="/ssti" method="get">
                <input type="text" name="input" placeholder="Enter your template" />
                <button type="submit">Submit</button>
            </form>
            <p>Try submitting something to test the vulnerability.</p>
        </body>
        </html>
    `

    fmt.Fprint(w, homeHTML)
}

func main() {
    http.HandleFunc("/", homeHandler)
    http.HandleFunc("/ssti", sstiHandler)

    // 启动服务器
    fmt.Println("Server is running on http://xxxxx:8080")
    http.ListenAndServe(":8080", nil)
}

命令执行

payload: {{ exec "ls" }}

go_ssti风险

文件读取

payload: {{ readFile "/etc/passwd" }}

go_ssti风险

写在最后

Go SSTI杀伤力整理来说没有jinja2大，不过模板注入作为一种攻击方式对各种语言的模板使用与规则进行研究还是必要的。

参考

https://book.hacktricks.xyz/pentesting-web/ssti-server-side-template-injection

https://www.onsecurity.io/blog/go-ssti-method-research/

来源：【go_ssti风险 - 先知社区 (aliyun.com)】

感谢：【老铁233】

原文始发于微信公众号（船山信安）：go_ssti风险

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

go_ssti风险

简介

环境记录

从SSTI开始

攻击流程

预防措施

Go语言中的SSTI

自定义一个靶场练习

获取admin账号密码(敏感信息泄露)

XSS

命令执行&文件读取

写在最后

参考

【论文速读】| 跨语言攻击（CL-attack）：通过跨语言触发器进行的文本后门攻击

SpyderSec靶机通关

GitHub Actions 供应链攻击剖析

通过持久会话令牌公开 PII 和 SSN — 15000 美元的漏洞赏金

[SQL绕过]对不起了系统，为了交差，我只能转走小道进行SQL注入了

春秋云镜-Hospital

4W搞定DeepSeek-R1-671B私有化部署方案！

深度分享：安全行业大模型落地的正确路径

AI大模型危机：多维对抗时代的网络安全与隐私困局

边界网关协议与其他网络协议有什么不同？

发表评论

在线咨询

微信