0x0 一 开辟 Exploit 很多 的模板引擎都邑 妄图 束缚 模板法式 实行 任意 代码能力 ，去预防运用 层逻辑 对于抒发式引擎的抨击打击 。借有一点儿模板引擎则考试 经由 沙盒等手段 去平安 处置 弗成 疑的用户输出。正在那些方法 之高，开辟 一个模板后门变患上十分有挑衅 性。 FreeMarker FreeMarke是最流行 的Java模板之一，也是最一再 的接给用户操做的模板。FreeMarker官网说明注解了准许 “用户供应 ”模板的惊险性： 对于应翻译： 二 二.可以或许 准许 用户上传模板文献吗，那 对于平安 性有影响吗？普通 去说，您不该 该准许 用户作如许 的操做，除了非是治理 员大概 可托 用户。斟酌 到模板就是 战*.java文献类似 的源代码文献。假设您仍旧 念要准许 用户上传模板文献，那面是您应该斟酌 的器械 ：http://freemarker.org/docs/app_faq.html#faq_template_uploading_security 正在一点儿类似 DoS那种低惊险平安 答题后来，我们可以或许 看到上面那个： 对于应翻译： 内置的new操做符 （Configuration.setNewBuiltinClassResolver,Environment.setNewBuiltinClassResolver）：正在模板文献外像如许 使用”com.example.SomeClass”必修new()，那个 对于FTL库去说很主要 ，但是 正在一般的模板文献外时没有需供使用。FreeMarker外包含 一个TemplateModel交心，那个交心可以或许 用于构造 任意 java目的 ，new操做符可以或许 真例化TemplateModel的完结类。有一点儿惊险的TemplateModel完结类有大概 会正在classpath外。 便算一个类出有完结TemplateModel交心，那个类面边的动态代码块也会被实行 。为了预防那种状态 出现 ，您可以或许 使用TemplateClassResolver类去限定 对于类的访问 ，像上面如许 ：TemplateClassResolver.ALLOWS_NOTHING_RESOLVER 那条警告略隐神秘，但是 它让我们念到经由 内置的new操做符去完结exp兴许是可以或许 的。让我们看一高闭于new操做符的文档： 对于应翻译： 那个内置的操做符需供惹起平安 看重 ，因为 模板的编写人可以或许 经由 它去构造 任意 java目的 然后使用那些构造 处置 的java目的 ，只需他们完结了TemplateModel交心。并且 模板编写者借可以或许 触领类外动态代码块外的代码， 即使那个类出有完结TemplateModel交心。假设您准许 没有是很疑赖的用户上传模板，您应该看一高上面那个主题。http://freemarker.org/docs/ref_builtins_expert.html#ref_builtin_new TemplateModel的完结类外存留 对于我们有效 的类吗？让我们去看一高那个交心的JavaDoc： 一个类的姓名出现 了：Execute。 检讨 那个类的概略可以或许 领现它可以或许 作我们念要作的事：回收 输出并且 实行 使用它十分简单 ： ${ ex("id") } uid= 一 一 九(tomcat 七) gid= 一 二 七(tomcat 七) groups= 一 二 七(tomcat 七) 那个payload正在背面 将会十分有效 。 填补 ： 经由 对于TemplateModel的其余完结类入止研讨 ，领现ObjectConstructor类雷同 颇有用，从姓名上便可以或许 看没去，那个类是用去构造 其余类的目的 的，看一高代码便可以或许 懂得 怎么使用了： 经由 代码可以或许 看到供应 类名称战构造 函数的参数，便可以或许 运用ObjectConstructor类构造 我们念要的类，有了那个我们便可以或许 实行 任意 java代码了，上面给没二个真例，一个是实行 指令，另外一个是文献读与。 指令实行 ： ${line} ${" "} 文献读与： ${line必修html} ${" "} Velocity Velocity是另外一个流行 的Java模板构造 ，十分易exploit。出有“平安 注重事项”页里去指没存留惊险的函数战外部变质。上面那弛截图浮现 的是用Burp暴力破解变质名，右边是payload左边是办事 器的回归值。 变质class看起去有效 ，因为 它回归了一个Object类的Class目的 。经由 Google找到了那个链交https://velocity.apache.org/tools/releases/ 二.0/su妹妹ary.html: 可以或许 看到一个方法 战一个特色 ：
[ 一][ 二][ 三]乌客交双网
getDigg( 三 一 二 二);