[护网杯 2018]easy_tornado
打开题目后，首先发现3个超链接
依次点开三个链接
?网址里有参数filename和filehash推测这里flag应该是
filename=/fllllllllllllag&filehash=md5(cookie_secret+md5(filename))里面，filehash里hash就是提示为md5的hash加密。
?变量 filename 的值总是为要访问的文件，再根据提示三和 filehash 三个不同的值猜测 filehash 的值为MD5加密后的字符串。
? filename知道了，cookie_secret在哪呢？hints提示render
?又根据题目easy_tornado可推测是服务器模板注入。
扩展：SSTI注入
SSTI就是服务器端模板注入(Server-Side Template Injection)，也给出了一个注入的概念。
服务端模板：相当于很多公式，根据变量输出结果。这里的模板就是模板引擎根据数据自动生成前端页面。
常见的注入有：SQL 注入，XSS 注入，XPATH 注入，XML
注入，代码注入，命令注入等等。sql注入已经出世很多年了，对于sql注入的概念和原理很多人应该是相当清楚了，SSTI也是注入类的漏洞，其成因其实是可以类比于sql注入的。sql注入是从用户获得一个输入，然后又后端脚本语言进行数据库查询，所以可以利用输入来拼接我们想要的sql语句，当然现在的sql注入防范做得已经很好了，然而随之而来的是更多的漏洞。
SSTI也是获取了一个输入，然后在后端的渲染处理上进行了语句的拼接，然后执行。错误的执行了用户输入。类比于 sql
注入。当然还是和sql注入有所不同的，SSTI利用的是现在的网站模板引擎(下面会提到)，主要针对python、php、java的一些网站处理框架，比如Python的jinja2
mako tornado django，php的smarty twig，java的jade
velocity。当这些框架对运用渲染函数生成html的时候会出现SSTI的问题。
?因为render（）是tornado里的函数，可以生成html模板。是一个渲染函数 ，就是一个公式，能输出前端页面的公式。
?tornado是用Python编写的Web服务器兼Web应用框架，简单来说就是用来生成模板的东西。和Python相关，和模板相关，就可以推测这可能是个ssti注入题了。
那我们开始初步尝试：
/file?filename=/fllllllllllllag&filehash={
{
1}}
为什么使用双花括号?
Tornado templates support control statements and expressions. Control
statements are surrounded by {% %}, e.g. {% if len(items) > 2 %}.
Expressions are surrounded by { { }}, e.g. { { items[0] }}.
得到关键报错信息：
?模板注入必须通过传输型如{
{xxx}}的执行命令。探测方式很简单，给一个参数赋值{
{22*22}}返回484则必然存在模板注入。
?但是当我们输入error?msg={
{1}}就可以得到回显，说明此处是存在SSTI注入漏洞的。
?当我构造的payload为：error?msg={ {2*2}}的时候，回显的结果是orz。因此我们可以猜测出，此处是出现了过滤。
此时我们需要找的是cookie_secret,
搜素百度得Tornado框架的附属文件handler.settings中存在cookie_secret
?Handler这个对象，Handler指向的处理当前这个页面的RequestHandler对象
RequestHandler中并没有settings这个属性，与RequestHandler关联的Application对象（Requestion.application）才有setting这个属性
handler 指向RequestHandler
而RequestHandler.settings又指向self.application.settings
所有handler.settings就指向RequestHandler.application.settings了！
此时构造payload:
http://e8d1f189-e498-4c03-9b0f-4eef7c6c671c.node3.buuoj.cn/error?msg={
{handler.settings}}
得到提示信息，得到cookie_secret: 7837cb65-a58d-4897-9e1e-efdebe9b75b5
此时的payload应该就是如下通过md5的结果：
file?filename=/fllllllllllllag&filehash=md5(cookie_secret+md5(/fllllllllllllag))
?/fllllllllllllag通过md5加密后：3bf9f6cf685a6dd8defadabfb41a03a1
?**md5(cookie_secret+md5(/fllllllllllllag))**通过md5加密后的结果:77a1d0572298d9f79da44fd36511802c
此时构造payload:
/file?filename=/fllllllllllllag&filehash=77a1d0572298d9f79da44fd36511802c
?回显得到最终的flag{a97dd1f2-6848-4eb9-86b1-c4f2306216c4}
