[A03:2021 – Injection] SSTI (Server Side Template Injection) 취약점 분석

[Web Hacking] picoCTF WebShell SSTI1

해당 CTF를 풀 때 사용했던 SSTI (Server Side Template Injection)에 대해 제대로 알아보겠습니다.

SSTI 취약점은 특히 동적 HTML 응답을 생성하는 서버 측 템플릿 기술에서 자주 발견됩니다.

해당 문제는 RCE (Remote Code Execution) 문제로 이어질 수 있기 때문에 강력한 취약점입니다.

 

아래에 설명한 예시는 CTF에서 사용했을 것이라고 예상되는 Jinja2로 취약점을 재구성하여 왜 위험한지 알아보겠습니다.

@app.route("/kuku")
def greet():
    name = request.args.get("name", "")
    template = f"Hello {name}" // 🧨사용자 입력을 직접 f-string 포매팅합니다.
    return render_template_string(template) // 🧨취약점 발생

위 예시의 동작 흐름을 알아보겠습니다.

 

일반적인 시나리오

1. curl -g 'http://www.test.com/kuku?name=kururu'
2. name 변수에 "kururu"라는 문자열이 할당됩니다.
3. template 변수에는 "Hello kururu"라는 문자열이 할당됩니다.
4. render_template_string() 함수를 호출하여 Jinja2가 렌더링 후 화면에 출력해 줍니다.
5. 화면에는 Hello kururu라고 출력됩니다.

---

참고 사항

render_template_string()에 대해 좀 더 알아보겠습니다.

1. 파싱
   • 문자열을 Jinja2 문법에 따라 파싱 하여 템플릿 객체 생성합니다.
2. 변수 바인딩 및 표현식 평가
   
   • {{ ... }} 및 {% ... %} 문법을 실행 가능한 코드로 처리합니다.
3. 문자열 렌더링  
   
   • 치환된 문자열을 완성하여 HTML 등 응답 본문으로 반환합니다.

---

SSTI 공격 시나리오

1. curl -g 'http://www.test.com/kuku?name={{2*2}}'
2. name 변수에 "{{2*2}}"라는 문자열이 할당됩니다.
3. template 변수에는 "Hello {{2*2}}"라는 문자열이 할당됩니다.
4. render_template_string() 함수를 호출하여 Jinja2가 렌더링 후 화면에 출력해 줍니다.
5. 화면에는 Hello 4라고 출력됩니다.