Выбор ответа Senior Инъекции: SQL, NoSQL, команды обновлено
SSTI
Вопрос
Чем опасен код render_template_string("Привет, " + name) во Flask, где name из запроса?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Это SSTI: выражения Jinja2 из ввода выполнятся на сервере, вплоть до кода. Ввод становится частью шаблона, и выражение вроде {{ 77 }} вычислится, а через объектную модель Python можно дойти до выполнения команд.
Варианты ответа
- Это SSTI: выражения Jinja2 из ввода выполнятся на сервере, вплоть до кодаправильный ответ
- Только XSS в браузере: Jinja2 вставит ввод в HTML, но на сервере ничего не выполнится
- Ничем: Jinja2 автоматически экранирует всё, что попадает в шаблон, включая сам текст
- Только утечка имени в логи: Flask пишет в лог каждый отрендеренный шаблон целиком
Разбор
Ввод становится частью шаблона, и выражение вроде {{ 7*7 }} вычислится, а через объектную модель Python можно дойти до выполнения команд. Автоэкранирование Jinja2 защищает переменные, а не текст самого шаблона. Правильно: render_template_string("Привет, {{ name }}", name=name).
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.