Thymeleaf SSTI模板注入分析 - ToB企服应用市场:ToB评测及商务社交产业平台

package com.example.controller;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.io.ObjectInputStream;
import java.io.UnsupportedEncodingException;
import java.util.Base64;
@Controller
public class TestController {
@GetMapping("/")
public String Welcome(String type) throws UnsupportedEncodingException {
System.out.println(type);
if(!type.equals("")) {
return "hello";
}
return "index";
}
@ResponseBody
@RequestMapping("/readobject")
public String frontdoor(String payload) throws IOException, ClassNotFoundException {
byte[] base64decodedBytes = Base64.getDecoder().decode(payload);
ByteArrayInputStream bais = new ByteArrayInputStream(base64decodedBytes);
ObjectInputStream ois = new ObjectInputStream(bais);
ois.readObject();
ois.close();
return "right";
}
}

复制代码

@GetMapping("/")
public String Welcome(String type) throws UnsupportedEncodingException {
System.out.println(type);
if(!type.equals("")) {
return "hello/"+type+"/challenge";
}
return "index";
}

复制代码

Thymeleaf 是与 java 配合使用的一款服务端模板引擎，也是 Spring 官方支持的一款服务端模板引擎。而 SSTI 最初是由 [James Kettle](https://portswigger.net/research/server-side-template-injection) 提出研究，[Emilio Pinna](https://github.com/epinna/tplmap) 对他的研究进行了补充，不过这些作者都没有对 Thymeleaf 进行 SSTI 相关的漏洞研究工作，后来 Aleksei Tiurin 在 ACUNETIX 的官方博客上发表了关于 Thymeleaf SSTI 的[文章](https://www.acunetix.com/blog/web-security-zone/exploiting-ssti-in-thymeleaf/)，因此 Thymeleaf SSTI 逐渐被安全研究者关注。
为了更方便读者理解这个 Bypass，因此在这里简单说一遍一些基础性的内容，如果了解的，可以直接跳到 0x03 的内容。
Thymeleaf 表达式可以有以下类型：
- ${...}：变量表达式 —— 通常在实际应用，一般是OGNL表达式或者是 Spring EL，如果集成了Spring的话，可以在上下文变量（context variables ）中执行
- *{...}: 选择表达式 —— 类似于变量表达式，区别在于选择表达式是在当前选择的对象而不是整个上下文变量映射上执行。
- #{...}: Message (i18n) 表达式 —— 允许从外部源（比如.properties文件）检索特定于语言环境的消息
- @{...}: 链接 (URL) 表达式 —— 一般用在应用程序中设置正确的 URL/路径（URL重写）。
- ~{...}：片段表达式 —— Thymeleaf 3.x 版本新增的内容，分段段表达式是一种表示标记片段并将其移动到模板周围的简单方法。正是由于这些表达式，片段可以被复制，或者作为参数传递给其他模板等等
实际上，Thymeleaf 出现 SSTI 问题的主要原因也正是因为这个片段表达式，我们知道片段表达式语法如下：
1. ~{templatename::selector}，会在/WEB-INF/templates/目录下寻找名为templatename的模版中定义的fragment

复制代码

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
</body>
</html>

复制代码

[/code]这就是片段表达式，片段表达式背面必须要有一个名字，这也对应payload中的.x，这个.x就是名称，那个.也可以去掉改为恣意的字符串.
继续往下走，fragmentExpression处进行了一个拼接，刚好是片段表达式形式的拼接
[align=center][img]https://img2024.cnblogs.com/blog/2746479/202404/2746479-20240412140939411-435870038.png#id=K1izE&originHeight=730&originWidth=1592&originalType=binary&ratio=1&rotation=0&showTitle=false&status=done&style=none&title=[/img][/align]
跟进parser.parseExpression这个方法[align=center][img]https://img2024.cnblogs.com/blog/2746479/202404/2746479-20240412141157527-1826913937.png#id=Vcola&originHeight=876&originWidth=1558&originalType=binary&ratio=1&rotation=0&showTitle=false&status=done&style=none&title=[/img][/align]
继续跟进，这里进入preprocess函数[align=center][img]https://img2024.cnblogs.com/blog/2746479/202404/2746479-20240412141326380-1688343107.png#id=hH6Tz&originHeight=709&originWidth=1595&originalType=binary&ratio=1&rotation=0&showTitle=false&status=done&style=none&title=[/img][/align]
注意上方的Pattern，Pattern.compile("\\_\\_(.*?)\\_\\_", 32);
这个刚好就能辨认payload的形式，然后由于是片段表达式，所以有最后的.x
[align=center][img]https://img2024.cnblogs.com/blog/2746479/202404/2746479-20240412141513029-323567748.png#id=smDzq&originHeight=1001&originWidth=1614&originalType=binary&ratio=1&rotation=0&showTitle=false&status=done&style=none&title=[/img][/align]
往下走进入execute方法剖析匹配到的payload，剖析过程就不说了，就是正常的SPEL表达式剖析，说一下3.12版本后的一个checker
[code] public static boolean containsSpELInstantiationOrStatic(final String expression) {
/*
* Checks whether the expression contains instantiation of objects ("new SomeClass") or makes use of
* static methods ("T(SomeClass)") as both are forbidden in certain contexts in restricted mode.
*/
final int explen = expression.length();
int n = explen;
int ni = 0; // index for computing position in the NEW_ARRAY
int si = -1;
char c;
while (n-- != 0) {
c = expression.charAt(n);
// When checking for the "new" keyword, we need to identify that it is not a part of a larger
// identifier, i.e. there is whitespace after it and no character that might be a part of an
// identifier before it.
if (ni < NEW_LEN
&& c == NEW_ARRAY[ni]
&& (ni > 0 || ((n + 1 < explen) && Character.isWhitespace(expression.charAt(n + 1))))) {
ni++;
if (ni == NEW_LEN && (n == 0 || !Character.isJavaIdentifierPart(expression.charAt(n - 1)))) {
return true; // we found an object instantiation
}
continue;
}
if (ni > 0) {
// We 'restart' the matching counter just in case we had a partial match
n += ni;
ni = 0;
if (si < n) {
// This has to be restarted too
si = -1;
}
continue;
}
ni = 0;
if (c == ')') {
si = n;
} else if (si > n && c == '('
&& ((n - 1 >= 0) && (expression.charAt(n - 1) == 'T'))
&& ((n - 1 == 0) || !Character.isJavaIdentifierPart(expression.charAt(n - 2)))) {
return true;
} else if (si > n && !(Character.isJavaIdentifierPart(c) || c == '.')) {
si = -1;
}
}
return false;
}

复制代码