* Você trabalha em uma **empresa de cibersegurança**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
* **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Compartilhe suas técnicas de hacking enviando PRs para o** [**repositório hacktricks**](https://github.com/carlospolop/hacktricks) **e para o** [**repositório hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
[**RootedCON**](https://www.rootedcon.com) é o evento de cibersegurança mais relevante na **Espanha** e um dos mais importantes na **Europa**. Com **a missão de promover o conhecimento técnico**, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e cibersegurança em todas as disciplinas.
Uma injeção de modelo do lado do servidor ocorre quando um invasor é capaz de usar a sintaxe nativa do modelo para injetar uma carga maliciosa em um modelo, que é então executado no lado do servidor.
Os **motores de modelo** são projetados para **gerar páginas da web** combinando modelos **fixos** com dados **voláteis**. Os ataques de injeção de modelo do lado do servidor podem ocorrer quando a **entrada do usuário** é concatenada diretamente **em um modelo**, em vez de ser passada como dados. Isso permite que os invasores **injetem diretivas de modelo arbitrárias** para manipular o motor de modelo, muitas vezes permitindo que eles assumam **o controle completo do servidor**.
No exemplo anterior, **parte do modelo** em si está sendo **gerada dinamicamente** usando o parâmetro `GET``name`. Como a sintaxe do modelo é avaliada no lado do servidor, isso potencialmente permite que um invasor coloque uma carga útil de injeção de modelo do lado do servidor dentro do parâmetro `name` da seguinte forma:
Assim como em qualquer vulnerabilidade, o primeiro passo para a exploração é ser capaz de encontrá-la. Talvez a abordagem inicial mais simples seja tentar **fuzzing no modelo** injetando uma sequência de caracteres especiais comumente usados em expressões de modelo, como o poliglota **`${{<%[%'"}}%\`.**\
Para verificar se o servidor é vulnerável, você deve **observar as diferenças** entre a resposta com **dados regulares** no parâmetro e a **carga útil fornecida**.\
Se um **erro for lançado**, será bastante fácil descobrir que **o servidor é vulnerável** e até mesmo qual **motor está sendo executado**. Mas você também pode encontrar um servidor vulnerável se estivesse **esperando** que ele **refletisse** a carga útil fornecida e ela **não estiver sendo refletida** ou se houver alguns **caracteres ausentes** na resposta.
A entrada fornecida está sendo **renderizada e refletida** na resposta. Isso é facilmente **confundido com uma vulnerabilidade simples** [**XSS**](../xss-cross-site-scripting/), mas é fácil diferenciar se você tentar definir **operações matemáticas** dentro de uma expressão de modelo:
Se você **alterar** o parâmetro **`greeting`** para um **valor diferente**, a **resposta não conterá o nome de usuário**, mas se você acessar algo como: `http://vulnerable-website.com/?greeting=data.username}}hello`, então **a resposta conterá o nome de usuário** (se os caracteres de expressão de fechamento do modelo fossem **`}}`**).\
Embora existam muitas linguagens de modelo, muitas delas usam uma sintaxe muito semelhante que é especificamente escolhida para não entrar em conflito com os caracteres HTML.
Se você tiver sorte, o servidor estará **imprimindo os erros** e você poderá encontrar o **mecanismo** usado **dentro** dos erros. Alguns payloads possíveis que podem causar erros:
Caso contrário, você precisará testar manualmente **diferentes payloads específicos da linguagem** e estudar como eles são interpretados pelo mecanismo de modelo. Uma maneira comum de fazer isso é injetar operações matemáticas arbitrárias usando sintaxe de diferentes mecanismos de modelo. Você pode então observar se eles são avaliados com sucesso. Para ajudar nesse processo, você pode usar uma árvore de decisão semelhante à seguinte:
* Seções 'Para autores de modelos' que cobrem a sintaxe básica.
* 'Considerações de segurança' - é provável que quem desenvolveu o aplicativo que você está testando não tenha lido isso, e pode conter algumas dicas úteis.
* Listas de métodos, funções, filtros e variáveis integrados.
* Listas de extensões/plugins - alguns podem estar habilitados por padrão.
Assumindo que nenhum exploit tenha se apresentado, o próximo passo é **explorar o ambiente** para descobrir exatamente o que **você tem acesso**. Você pode esperar encontrar tanto **objetos padrão** fornecidos pelo mecanismo de modelo, quanto **objetos específicos do aplicativo** passados para o modelo pelo desenvolvedor. Muitos sistemas de modelo expõem um objeto 'self' ou namespace contendo tudo em escopo, e uma maneira idiomática de listar os atributos e métodos de um objeto.
Se não houver um objeto self integrado, você terá que forçar o nome das variáveis usando [SecLists](https://github.com/danielmiessler/SecLists/blob/25d4ac447efb9e50b640649f1a09023e280e5c9c/Discovery/Web-Content/burp-parameter-names.txt) e a coleção de wordlists do Burp Intruder.
Os objetos fornecidos pelo desenvolvedor são particularmente propensos a conter informações sensíveis e podem variar entre diferentes modelos dentro de um aplicativo, portanto, esse processo deve ser aplicado idealmente a cada modelo distinto individualmente.
Neste ponto, você deve ter uma **ideia clara da superfície de ataque disponível** e ser capaz de prosseguir com técnicas tradicionais de auditoria de segurança, revisando cada função em busca de vulnerabilidades exploráveis. É importante abordar isso no contexto do aplicativo mais amplo - algumas funções podem ser usadas para explorar recursos específicos do aplicativo. Os exemplos a seguir usarão a injeção de modelo para acionar a criação arbitrária de objetos, leitura/gravação arbitrária de arquivos, inclusão remota de arquivos, divulgação de informações e vulnerabilidades de escalonamento de privilégios.
Para recuperar as variáveis de ambiente do sistema em Java, podemos usar a classe `System.getenv()`. Essa classe retorna um mapa que contém todas as variáveis de ambiente do sistema e seus valores correspondentes. Podemos iterar sobre o mapa para obter todas as variáveis de ambiente e seus valores.
Este é um exemplo de como explorar uma vulnerabilidade de Injeção de Modelo do Lado do Servidor (SSTI) em um aplicativo Java para recuperar o arquivo `/etc/passwd` do servidor. A vulnerabilidade SSTI ocorre quando um aplicativo injeta código malicioso em um modelo do lado do servidor.
O código abaixo injeta uma expressão maliciosa `${new java.util.Scanner(Runtime.getRuntime().exec("cat /etc/passwd").getInputStream()).useDelimiter("\\A").next()}` em um modelo do lado do servidor. Essa expressão executa o comando `cat /etc/passwd` no servidor e retorna o conteúdo do arquivo `/etc/passwd`.
* Na seção FreeMarker de [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)
* Na seção Velocity de [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)
A expressão de teste típica para SSTI é `${7*7}`. Essa expressão também funciona no Thymeleaf. Se você quiser obter execução remota de código, pode usar uma das seguintes expressões de teste:
No entanto, como mencionamos antes, as expressões só funcionam em atributos especiais do Thymeleaf. Se for necessário usar uma expressão em uma localização diferente no modelo, o Thymeleaf suporta _inline de expressão_. Para usar esse recurso, você deve colocar uma expressão dentro de `[[...]]` ou `[(...)]` (selecione um ou outro dependendo se você precisa escapar símbolos especiais). Portanto, uma carga útil de detecção SSTI simples para Thymeleaf seria `[[${7*7}]]`.
As chances de que a carga útil de detecção acima funcione são, no entanto, muito baixas. As vulnerabilidades SSTI geralmente ocorrem quando um modelo é gerado dinamicamente no código. O Thymeleaf, por padrão, não permite tais modelos gerados dinamicamente e todos os modelos devem ser criados anteriormente. Portanto, se um desenvolvedor quiser criar um modelo a partir de uma string _on the fly_, eles precisariam criar seu próprio TemplateResolver. Isso é possível, mas acontece muito raramente.
Se olharmos mais profundamente na documentação do mecanismo de modelo Thymeleaf, encontraremos um recurso interessante chamado _**pré-processamento de expressão**_. As expressões colocadas entre dois sublinhados (`__...__`) são pré-processadas e o resultado do pré-processamento é usado como parte da expressão durante o processamento regular. Aqui está um exemplo oficial da documentação do Thymeleaf:
* [Payloads all the things](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Server%20Side%20Template%20Injection/README.md#java---retrieve-etcpasswd)
Jinjava é uma linguagem de modelo Java que é usada para renderizar modelos. É uma biblioteca Java que pode ser usada em aplicativos Java e em outras plataformas que suportam Java. Jinjava é uma linguagem de modelo segura que pode ser usada para evitar ataques de injeção de modelo. Ele fornece recursos como herança de modelo, macros, filtros e muito mais. Jinjava é uma ótima opção para usar em aplicativos Java que precisam de renderização de modelo segura.
Jinjava é um projeto de código aberto desenvolvido pela Hubspot, disponível em [https://github.com/HubSpot/jinjava/](https://github.com/HubSpot/jinjava/)
//Here, I created a variable 'ji' with new instance of com.hubspot.jinjava.Jinjava class and obtained reference to the newInterpreter method. In the next block, I called the render method on 'ji' with expression {{1*2}}.
EL fornece um mecanismo importante para permitir que a camada de apresentação (páginas da web) se comunique com a lógica da aplicação (beans gerenciados). O EL é usado por **várias tecnologias JavaEE**, como a tecnologia JavaServer Faces, a tecnologia JavaServer Pages (JSP) e a Injeção de Dependência e Contextos para Java EE (CDI).\
Verifique a seguinte página para aprender mais sobre a **exploração dos interpretadores EL**:
Este bypass do Security Manager foi retirado deste [**writeup**](https://security.humanativaspa.it/groovy-template-engine-exploitation-notes-from-a-real-case-scenario/).
[**RootedCON**](https://www.rootedcon.com/) é o evento de cibersegurança mais relevante na **Espanha** e um dos mais importantes na **Europa**. Com **a missão de promover o conhecimento técnico**, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e cibersegurança em todas as disciplinas.
* Na seção Smarty de [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)
Twig é um mecanismo de modelo moderno e flexível para PHP. É uma biblioteca de modelo rápida, segura e flexível que permite ao desenvolvedor escrever modelos legíveis e fáceis de manter. O Twig é usado por muitos projetos populares, como o Symfony, o Drupal e o Craft CMS.
O Twig usa uma sintaxe simples e fácil de entender que permite ao desenvolvedor criar modelos complexos com facilidade. Ele suporta recursos avançados, como herança de modelo, macros e filtros personalizados. O Twig também é altamente extensível, permitindo que os desenvolvedores criem suas próprias extensões para adicionar funcionalidades personalizadas.
O Twig é uma ótima escolha para projetos PHP que exigem modelos flexíveis e fáceis de manter. Ele é fácil de aprender e usar, e oferece muitos recursos avançados para desenvolvedores experientes. Se você está procurando um mecanismo de modelo moderno e poderoso para seus projetos PHP, o Twig é uma excelente opção.
* Na seção Twig e Twig (Sandboxed) de [https://portswigger.net/research/server-side-template-injection](https://portswigger.net/research/server-side-template-injection)
A Injeção de modelo do lado do servidor (SSTI) é uma vulnerabilidade de segurança que ocorre quando um invasor pode injetar código malicioso em um modelo que é então executado no servidor. Isso pode permitir que o invasor execute comandos no servidor ou obtenha acesso a informações confidenciais.
A SSTI ocorre quando um aplicativo da web usa um modelo para gerar conteúdo dinâmico. O modelo contém espaços reservados que são preenchidos com dados do usuário ou do sistema. Se o aplicativo não validar corretamente os dados inseridos pelo usuário, um invasor pode injetar código malicioso no modelo.
Quando o modelo é processado no servidor, o código malicioso é executado, permitindo que o invasor execute comandos no servidor ou obtenha acesso a informações confidenciais.
Neste exemplo, o aplicativo da web usa o mecanismo de modelo do Flask para renderizar uma saudação personalizada para o usuário. No entanto, o aplicativo não escapa a entrada do usuário, permitindo que um invasor injete código malicioso no modelo.
Isso injetará o código `config.items` no modelo, que é então executado no servidor. Isso pode permitir que o invasor obtenha acesso a informações confidenciais, como senhas ou chaves de API.
Para prevenir a SSTI, é importante validar e escapar corretamente todas as entradas do usuário que são usadas em modelos. Isso pode ser feito usando uma biblioteca de modelo segura, como o Jinja2, que escapa automaticamente todas as entradas do usuário.
Este arquivo é responsável por exibir informações sobre os autores do site. Ele usa um modelo para exibir as informações dos autores. No entanto, o modelo não é seguro contra ataques de injeção de modelo do lado do servidor (SSTI). Isso significa que um invasor pode injetar código malicioso no modelo e executá-lo no servidor. Isso pode levar a vazamentos de informações sensíveis ou até mesmo à execução remota de código. É importante garantir que o modelo seja seguro contra ataques SSTI.
Jade é um mecanismo de modelo de servidor que permite a criação de modelos HTML de forma rápida e fácil. Ele é usado em muitos aplicativos NodeJS e é conhecido por sua sintaxe concisa e legibilidade. No entanto, como muitos outros mecanismos de modelo, o Jade é vulnerável a ataques de injeção de modelo do lado do servidor (SSTI). Esses ataques podem permitir que um invasor execute código malicioso no servidor, o que pode levar a vazamentos de dados e comprometimento do sistema. É importante que os desenvolvedores tomem medidas para proteger seus aplicativos contra esses tipos de ataques, como validar entradas de usuário e usar bibliotecas de modelo seguras.
> [patTemplate](https://github.com/wernerwa/pat-template) é um mecanismo de modelagem PHP não compilado, que usa tags XML para dividir um documento em diferentes partes.
> Jinja2 é um motor de modelo completo para Python. Ele tem suporte total a Unicode, um ambiente de execução isolado opcionalmente integrado, amplamente utilizado e licenciado pelo BSD.
Jinja2 é um motor de template popular para Python. Ele é usado para renderizar templates e é amplamente utilizado em frameworks web como Flask e Django. O formato de template do Jinja2 é semelhante ao do Django, mas com algumas diferenças. Os templates do Jinja2 são salvos com a extensão `.html` ou `.j2`.
Os templates do Jinja2 são compostos por tags, expressões e comentários. As tags são usadas para controlar o fluxo do template, enquanto as expressões são usadas para exibir valores. Os comentários são usados para adicionar notas ao template que não serão renderizadas.
Mako é um mecanismo de modelo de servidor de código aberto para Python. Ele é usado para renderizar modelos e pode ser usado para injetar código no lado do servidor. Para explorar vulnerabilidades de injeção de modelo do lado do servidor em Mako, você pode usar a seguinte carga útil:
Esta carga útil usa a classe `Template` para ler o arquivo `/etc/passwd`. Você pode modificar o caminho do arquivo para ler outros arquivos no servidor.
O método `System.Diagnostics.Process.Start` do .NET pode ser usado para iniciar qualquer processo no servidor e, assim, criar um webshell. Você pode encontrar um exemplo de aplicativo da web vulnerável em [https://github.com/cnotin/RazorVulnerableApp](https://github.com/cnotin/RazorVulnerableApp)
* Se os dados passados são um objeto que contém o atributo Password, por exemplo, o payload anterior vazaria, mas você também poderia fazer: `{{ .Password }}`
*`{{printf "%s" "ssti" }}` = deve produzir a string ssti na resposta
*`{{html "ssti"}}`, `{{js "ssti"}}` = Esses são alguns outros payloads que devem produzir a string "ssti" sem as palavras finais "js" ou "html". Você pode se referir a mais palavras-chave no mecanismo [aqui](https://golang.org/pkg/text/template).
Se o servidor estiver **usando o pacote text/template**, o XSS é muito fácil de alcançar **simplesmente** fornecendo seu **payload** como entrada. No entanto, isso **não é o caso com html/template** pois ele codifica a resposta em HTML: `{{"<script>alert(1)</script>"}}` --> `<script>alert(1)</script>`
A documentação para ambos os módulos html/template pode ser encontrada [aqui](https://golang.org/pkg/html/template/), e a documentação para o módulo text/template pode ser encontrada [aqui](https://golang.org/pkg/text/template/), e sim, elas variam, muito. Por exemplo, em **text/template**, você pode **chamar diretamente qualquer função pública com o valor "call"**, no entanto, esse não é o caso de html/template.
Se você quiser encontrar um RCE em Go via SSTI, você deve saber que, assim como você pode acessar o objeto fornecido ao modelo com `{{ . }}`, você também pode **chamar os métodos dos objetos**. Então, imagine que o **objeto passado tenha um método chamado System** que execute o comando fornecido, você poderia abusar dele com: `{{ .System "ls" }}`\
Portanto, você provavelmente **precisará do código-fonte**. Um código-fonte potencial para algo assim seria:
Confira o restante em [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection) para mais exploits. Você também pode encontrar informações interessantes em tags em [https://github.com/DiogoMRSilva/websitesVulnerableToSSTI](https://github.com/DiogoMRSilva/websitesVulnerableToSSTI)
[**RootedCON**](https://www.rootedcon.com/) é o evento de cibersegurança mais relevante na **Espanha** e um dos mais importantes na **Europa**. Com **a missão de promover o conhecimento técnico**, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e cibersegurança em todas as disciplinas.
* Você trabalha em uma **empresa de cibersegurança**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
* **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Compartilhe seus truques de hacking enviando PRs para o** [**repositório hacktricks**](https://github.com/carlospolop/hacktricks) **e** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud).
