CTF для самых маленьких

SSTI (Server-side template injection) - уязвимость, позволяющая внедрить код в шаблон, выполнив его на стороне сервера.

Как это работает? Если пользователь ввёдет где-либо на сайте не просто текст, а команду, вставляемую в шаблонизатор, то сервер может выполнить её и вернуть пользователю результат, если не стоит должных защит. Примерно так это выглядит на сервере:(пример кода ниже)

if request.method == 'POST':
    comment = request.form['user_comment']
    # В HTML комментарий вставляется через вызов переменной:  <p> {{ comment }} </p> 

Можно заметить, что {{ }} передают переменную. Т.е пользователь может просто написать команду такого же вида в поле ввода и она будет выполнена.

В нашем случае можем ввести в комментарии:

 {{ flag }} 

На доске же вместо нашего "комментария" отобразится введённая переменная, т.е флаг

Однако можно в {{ }} вписать любую команду и она будет выполнена с одним "но": Современные шаблонизаторы неохотно обрабатывают в принципе всё, что в них суют и даже здесь уязвимость создана искусственно