代码审计系列-基础篇-SSTI-FreeMarker模版注入漏洞

    模板编写为FreeMarker Template Language (FTL)。后端业务代码准备数据在填充在已经固定的HTML模版中，比如数据库查询和业务运算，之后模板显示数据库查询的结果或运算的结果数据。模版中包含如下内容：

文本：文本会照着原样来输出。

插值：这部分的输出会被计算的值来替换。插值由${and}所分隔的(或者#{and}

FTL标签：FTL标签和HTML标签很相似，但是它们却是给FreeMarker的指示， 而且不会打印在输出内容中。

注释：注释和HTML的注释也很相似，但它们是由<#--和-->来分隔的。注释会被FreeMarker直接忽略， 更不会在输出内容中显示。

FreeMarker使用场景如下

• Web 开发：与 Spring MVC、Struts 等框架集成，生成动态 HTML 页面

• 电子邮件模板：生成动态邮件内容

• 配置文件生成：根据环境或需求生成配置文件

• 代码生成工具：在开发工具中生成代码文件

编写业务层代码：

• 创建数据模型：可以使用 java.lang 和 java.util 包中的类，还有用户自定义的Java Bean来构建数据对象

• 获取模版:freemarker.template.Template实例。典型的做法是从 Configuration 实例中获取一个Template 实例

• 合并模版和数据模型：数据模型+模板=输出

    触发Freemarker的漏洞的场景大致为：

• 文件上传：用户的使用上传包含危险内建函数的FreeMarker模版，并且可访问渲染后的文件

• 文件编辑：用户可以修改为包含内建函数的模版文件，访问该模版后造成的攻击

 以下图片来源为FreeMarker官方文档(http://freemarker.foofun.cn/ref_builtins_expert.html#ref_builtin_new)

api函数

jfinal白盒定位关键词

- TempleteUtile.java中用来初始化模版引擎，查看源代码后发现该process方法会进行模版引擎渲染

process(String templatefile, Map<?, ?> param) 方法使用模板文件名和参数 map 生成字符串输出。处理模板后，去除 HTML/XML 中标签之间的空白字符。

process(String templatefile, Map<String, Object> param, File file) 方法

将模板处理结果写入指定的文件中，使用 UTF-8 编码保存

templatefile注释来看为传入的模版文件并直接渲染，查看是否模版文件可控

向上查找参数均发现不可控，转换思路进行黑盒挖掘尝试

往往很多漏洞黑盒要比白盒方便很多，因为功能非常明显找到模版文件保存功能

向上追踪定位到FreeMarkerRender类：

`FreeMarkerRender是一个基于 JFinal 框架的 FreeMarker 模板渲染器，主要功能如下：

封装 FreeMarker 配置：通过静态变量 config初始化 FreeMarker 的配置；

提供配置方法:setProperty()、setSharedVariable()、setProperties()用于设置模板参数和共享变量；

模板路径设置:setTemplateLoadingPath()` 设置模板加载路径；

初始化配置:init()方法完成模板引擎的各项基础设置（编码、异常处理、日期格式等）；

渲染视图:render() 方法将数据模型与模板合并输出 HTML 到响应；

内容类型控制:getContentType()返回默认文本类型为 HTML + 编码。