SSTI: Report Template RCE

# Server-Side Template Injection с эскалацией до выполнения команд ## Сценарий Вы — участник программы безопасности **PixelPort**, магазина электроники. Недавно магазин дал покупателям «конструктор отчётов»: в личном кабинете задаётся собственный шаблон отчёта с подстановками данных профиля — имени, баланса, числа заказов, — и по кнопке генерируется готовый отчёт. Отчёты охотно используют корпоративные клиенты, и перед тем как рассказать о фиче всем, продуктовая команда попросила вас её протестировать на прочность. ## Цель 1. Войдите под учётной записью обычного покупателя и найдите поле шаблона отчёта с подстановками данных профиля. 2. Подтвердите, что сервер исполняет текст шаблона, а не показывает его как есть (классический индикатор — арифметическое выражение). 3. Эскалируйте от вычисления выражений до выполнения системной команды: через объектную модель Python доберитесь до класса запуска подпроцессов, выполните команду и прочитайте CTF-флаг из окружения процесса. ## Теория Шаблонизатор без изоляции — это окно в интерпретатор: выражения шаблона вычисляются с полным доступом к объектной модели Python. Если через цепочки специальных атрибутов из базовой SSTI читаются переменные окружения, то на шаг дальше лежит полноценное выполнение команд с правами процесса приложения. **Уязвимый паттерн:** ```python preview = render_template_string( user['report_template'], username=user['username'], balance=user['balance'], order_count=order_count, role=user['role']) ``` Тело шаблона целиком поступает в компилятор произвольных шаблонов. В Python у каждого класса есть атрибут иерархии наследования, а у корневого объекта — перечисление всех загруженных классов-потомков. Среди них всегда есть класс, запускающий подпроцессы: обращение к нему из шаблона и вызов с командой — это уже не чтение данных, а исполнение кода операционной системы. ## Точка входа атаки `POST /profile/template` — сохранение шаблона отчёта, поле `report_template` (с CSRF-токеном). Превью рендеринга — `GET /reports`, сохранённый отчёт — `POST /reports/generate` (поле `title`). * **Обычный пользователь:** `demo` / `demo`