[Web] simple-ssti

https://dreamhack.io/wargame/challenges/39/

simple-ssti

Code

#!/usr/bin/python3
from flask import Flask, request, render_template, render_template_string, make_response, redirect, url_for
import socket

app = Flask(__name__)

try:
    FLAG = open('./flag.txt', 'r').read()
except:
    FLAG = '[**FLAG**]'

app.secret_key = FLAG


@app.route('/')
def index():
    return render_template('index.html')

@app.errorhandler(404)
def Error404(e):
    template = '''
    <div class="center">
        <h1>Page Not Found.</h1>
        <h3>%s</h3>
    </div>
''' % (request.path)
    return render_template_string(template), 404

app.run(host='0.0.0.0', port=8000)

 

Write Up

위의 코드를 보면 404에러 페이지에서 %request.path를 반환해준다는 것을 알 수 있다.

404Error 대신 원하는 수식을 써보니, {{10*10}} 을 넣은 경우에 텍스트 그대로 들어가는 게 아닌 계산된 값이 출력되는 것을 확인할 수 있다. 이 부분에서 ssti 취약점을 이용하면,

이 부분에서 ssti 취약점을 이용하여, {{config.items()}}를 입력하면,

플래그 획득