对某Flask应用的简单审计-安全小百科

上次去参加BCTF，第一道AWD题目就是Flask的SSTI漏洞，当时由于不熟悉Flask框架，，所以一开始没意识到这是模板命令注入的漏洞，，直到抓到别人的流量才知道了payload，，回来之后好好学了下Flask框架。

整得来说Flask真的只能算轻量级应用，，代码构成也比较简单，出现的漏洞问题跟PHP大同小异，没有什么的有意思的函数漏洞，可能是自己水平不够吧。。

flask网上开源的cms很少，所以只能在github上找，，如果哪天源码网站上出现大批量的flask应用，，或许flask的运用才真的谈得上广泛！

这次审计flaks的github地址为：https://github.com/yubang/cms

0x00 环境搭建

这里一开始用的Macbook搭建的，首先搭建virtualenv，，安装flask，这个都没什么好说的。

问题就出现在安装MySQLdb库时出现了问题，，如果使用pip这样的安装问题，，一直报错，，然后找问题，，修改，，继续报错。。后来放弃了在macbook上搭建，改而使用windows环境搭建

这里windows环境已经集成好了MySQLdb的whl文件，直接安装即可，不过这里注意下，要在virtualenv环境下安装whl文件，还有一种就是提供了exe的安装方式，这种也可以，，不过不是虚拟环境下，，因此当运行虚拟环境时，系统仍然会提示这个库文件是找不到的~

0x01 代码审计

整个cms不是很大，，因为自己也是刚学flask，如果上来就用一个很大的cms来练手，似乎有点不妥，，所以选择了这款小型cms来审计。

这里就从这个登录框开始审计，在第一次看代码时就感觉有问题，，后来环境搭建好了，，这里果然存在问题

<br />
@app.route(“/login”,methods=[‘POST’])<br />
def login():<br />
    “登录”<br />
    username=request.form.get(“username”,None)<br />
    password=request.form.get(“password”,None)</p>
<p>    global db<br />
    dao=db.M(“cms_account”)<br />
    result=dao.where({“username”:username,”password”:password}).count()</p>
<p>    if(result==1):<br />
        session[‘uid’]=time.time()<br />
        return redirect(“/admin”)<br />
    else:<br />
        return redirect(“/?error=1”)

@app.route(“/login”,methods=[‘POST’])

def login():

“登录”

username=request.form.get(“username”,None)

password=request.form.get(“password”,None)

global db

dao=db.M(“cms_account”)

result=dao.where({“username”:username,“password”:password}).count()

if(result==1):

session[‘uid’]=time.time()

return redirect(“/admin”)

else:

return redirect(“/?error=1”)

这里类似于php，通过传参username和password，然后进入到数据库的查询，，我们跟进这里的where语句

<br />
    def where(self,data=None):<br />
        if(data==None):<br />
            pass<br />
        elif(type(data)==dict):<br />
            keys=data.keys()<br />
            index=0<br />
            while(index<len(keys)):<br />
                if(type(data[keys[index]])==type([])):<br />
                    value=data[keys[index]][1]<br />
                    fuhao=data[keys[index]][0]<br />
                    fuhao=fuhao.upper()<br />
                    if(fuhao==”GT”):<br />
                        fuhao=” > ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”GTE”):<br />
                        fuhao=” >= ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”LT”):<br />
                        fuhao=” < ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”LTE”):<br />
                        fuhao=” <= ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”EQ”):<br />
                        fuhao=” == ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”NEQ”):<br />
                        fuhao=” != ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”LIKE”):<br />
                        fuhao=” LIKE ”<br />
                        value=self.__dealField(value,True)<br />
                    elif(fuhao==”BETWEEN”):<br />
                        fuhao=” BETWEEN ”<br />
                        value=value[0]+” AND “+self.__dealField(value[1],True)<br />
                    elif(fuhao==”NOT BETWEEN”):<br />
                        fuhao=” NOT BETWEEN ”<br />
                        value=value[0]+” AND “+self.__dealField(value[1],True)<br />
                    elif(fuhao==”IN” or fuhao==”NOT IN”):<br />
                        if(fuhao==”IN”):<br />
                            fuhao=” IN ”<br />
                        else:<br />
                            fuhao=” NOT IN ”<br />
                        v=””<br />
                        i=0<br />
                        for temp in value:<br />
                            if(i!=0):<br />
                                v=v+”,”<br />
                            v=v+self.__dealField(temp,True)<br />
                            i=i+1<br />
                        v=”(“+v+”)”<br />
                        value=v<br />
                else:<br />
                    value=self.__dealField(data[keys[index]],True)<br />
                    fuhao=”=”<br />
                if(index!=0):<br />
                    self.__whereText=self.__whereText+” AND ”<br />
                else:<br />
                    self.__whereText=” WHERE ”<br />
                self.__whereText=self.__whereText+self.__dealField(keys[index],False)+fuhao+value<br />
                index=index+1<br />
        else:<br />
            self.__whereText=data<br />
        return self

def where(self,data=None):

if(data==None):

pass

elif(type(data)==dict):

keys=data.keys()

index=0

while(index<len(keys)):

if(type(data[keys[index]])==type([])):

value=data[keys[index]][1]

fuhao=data[keys[index]][0]

fuhao=fuhao.upper()

if(fuhao==“GT”):

fuhao=” > “