security_rust/injection/
ssti.rs

1// Copyright (c) 2026 erik <erik@erik.xyz> — https://erik.xyz
2
3use crate::{AttackCategory, DetectionResult, Detector, Severity, regex_detect};
4use regex::Regex;
5use std::sync::LazyLock;
6
7// `${...}` / `{{...}}` 本身**不是**信号：shell、Spring `@Value("${x}")`、
8// `@Value` 占位符、JS 模板串、Thymeleaf、Vue/Handlebars 变量全是这个语法，
9// 拿定界符当特征等于把正常业务流量全拦下。SSTI 的真实信号是**表达式被求值**：
10//   1. 定界符里出现字面量之间的算术 —— `{{7*7}}`、`${7*7}`、`<%= 7*7 %>`；
11//      已知上限，**不要「修」**：操作数两侧都是字面量数字时，形状与模板源码里
12//      `{{ 10 % 2 }}` 完全相同，所以它报 Critical。要求操作数是标识符会同时放过
13//      `{{7*7}}`，而后者正是 SSTI 的规范判据；且模板文件与请求体是不同的输入域。
14//      `{{ count % 2 }}`、`{{ n % 10 }}`、`{{ a % b }}` 都 clean（标识符操作数）。
15//   2. 表达式开头的对象/运行时访问 —— `{{config}}`、`${T(java.lang.Runtime)}`；
16//   3. Python 魔术属性**在定界符内** —— 裸的 `__class__`/`__dict__` 是普通 Python
17//      （`self.__class__.__name__`、`obj.__dict__`、`Plugin.__subclasses__()`）。
18// 模板指令本身（`{% %}`、`<%=`、`#set(`）在模板源码里就是功能，形状与攻击完全相同，
19// 单独出现不足以拒绝，放 WEAK_PATTERNS。
20/// 8 条分支合并成 1 条 alternation —— `regex_detect` 对列表里每条 `Regex` 各跑一次
21/// `find`，干净输入下 8 次全文扫描变 1 次。分支顺序 = 原 vec 顺序（同一位置上取最左
22/// 分支；与「按列表顺序取第一条命中的模式」相比偏移量可能不同，档位不变）。
23/// 内联 flag 一律裹进 `(?i:…)` —— 裸 `(?i)` 的作用域会蔓延到它后面拼进来的分支。
24static STRONG_PATTERNS: LazyLock<Regex> = LazyLock::new(|| {
25    Regex::new(concat!(
26        // 求值探针：数字 + 运算符 + 数字。要求定界符成对闭合（`{{7*7` 不报）。
27        // 间隙用 `[^{}]` 而不是 `.`，避免跨多个定界符乱吞。
28        // 右操作数允许带引号：Twig/Jinja 的 `{{7*'7'}}`（字符串重复求值）与不加引号
29        // 的 `{{7*7}}` 是同一个探针，引号只是骗过按数字匹配的 WAF。
30        r#"\{\{[^{}]{0,120}?\d+[ \t]*[-+*/%][ \t]*['"]?\d+[^{}]{0,120}?\}\}"#,
31        r#"|\$\{[^{}]{0,120}?\d+[ \t]*[-+*/%][ \t]*['"]?\d+[^{}]{0,120}?\}"#,
32        // ERB/ASP 同理：裸 `<%=` 是模板源码的常规写法（见 WEAK），带算术求值的才是探针
33        r#"|<%=[^{}]{0,120}?\d+[ \t]*[-+*/%][ \t]*['"]?\d+[^{}]{0,120}?%>"#,
34        // `config` 只在 `{{...}}` 里算信号（Jinja/Flask 的内置对象）；
35        // `${config}` 是 shell/SpEL 的普通属性占位符，不算。
36        // 必须紧跟在定界符之后：`{{ app_config }}` 是普通变量名。
37        r"|\{\{[ \t]*config\b",
38        // SpEL 的类型访问 `T(...)` 与静态成员访问 `@Type@method`。
39        r"|\$\{[ \t]*(?:T[ \t]*\(|@[\w.]+@)",
40        // Jinja/Twig 的 include/extends 只有带绝对路径或 `..` 才是 LFI：
41        // `{% include 'header.html' %}` 是模板的正常写法。
42        r#"|\{%\s*(?:include|extends|import|from)\s+['"]\s*(?:/|\.\.)"#,
43        // 魔术属性只有在**定界符内**才是逃逸链 —— 裸的 `__class__` 是普通 Python
44        // （`self.__class__.__name__`、`dict(obj.__dict__)`、`Plugin.__subclasses__()`）。
45        // 间隙用 `[^{}%]` 避免跨定界符乱吞。
46        r"|\{\{[^{}%]{0,160}?__(?:class|dict|mro|subclasses|globals|builtins)__|\{%[^{}%]{0,160}?__(?:class|dict|mro|subclasses|globals|builtins)__|\$\{[^{}%]{0,160}?__(?:class|dict|mro|subclasses|globals|builtins)__",
47        // FreeMarker 的反射内建。`?new(` 是 FreeMarker 的 builtin
48        // （`"freemarker.template.utility.Execute"?new()`），别处没有这个写法。
49        r"|(?i:\?new\s*\()",
50    ))
51    .unwrap()
52});
53
54/// 弱信号：模板指令「出现」本身就是模板语言的功能 —— `{% if %}`、`<%= %>`、`#set(`、
55/// `<#assign>` 在正常模板源码里满地都是，与攻击形状完全相同；裸魔术属性则是普通
56/// Python 代码。都保留检出，但单条不拒绝。
57/// 6 条分支合并成 1 条 alternation —— `regex_detect` 对列表里每条 `Regex` 各跑一次
58/// `find`，干净输入下 6 次全文扫描变 1 次。分支顺序 = 原 vec 顺序（同一位置上取最左
59/// 分支；与「按列表顺序取第一条命中的模式」相比偏移量可能不同，档位不变）。
60/// 内联 flag 一律裹进 `(?i:…)` —— 裸 `(?i)` 的作用域会蔓延到它后面拼进来的分支。
61static WEAK_PATTERNS: LazyLock<Regex> = LazyLock::new(|| {
62    Regex::new(concat!(
63        r"\{%\s*.*?\s*%\}",
64        r"|<%=",
65        r"|<%@",
66        r"|#set\s*\(",
67        // `<` 必须紧贴在 `#` 前：`href="#assign x"` 这类锚点里 `#` 前面是引号，不命中
68        r"|(?i:<#assign\s)",
69        r"|__(?:class|dict|mro|subclasses|globals|builtins)__",
70    ))
71    .unwrap()
72});
73
74pub struct SstiDetector;
75
76impl Detector for SstiDetector {
77    fn name(&self) -> &'static str {
78        "ssti"
79    }
80
81    fn detect(&self, input: &str) -> Option<DetectionResult> {
82        regex_detect(
83            std::slice::from_ref(&*STRONG_PATTERNS),
84            self.name(),
85            AttackCategory::Injection,
86            Severity::Critical,
87            "Server-Side Template Injection detected",
88            input,
89        )
90        .or_else(|| {
91            regex_detect(
92                std::slice::from_ref(&*WEAK_PATTERNS),
93                self.name(),
94                AttackCategory::Injection,
95                Severity::Low,
96                "Template directive / magic attribute present (weak signal)",
97                input,
98            )
99        })
100    }
101}
102
103#[cfg(test)]
104mod tests {
105    use super::*;
106
107    fn det() -> SstiDetector {
108        SstiDetector
109    }
110
111    fn assert_hit(input: &str) {
112        assert_hit_at(input, Severity::Critical);
113    }
114
115    fn assert_hit_at(input: &str, severity: Severity) {
116        crate::test_helpers::assert_detected(&det(), input, AttackCategory::Injection, severity);
117    }
118
119    #[test]
120    fn name_is_ssti() {
121        assert_eq!(det().name(), "ssti");
122    }
123
124    #[test]
125    fn detects_common_payloads() {
126        for (input, severity) in [
127            // 强信号：求值探针 / 定界符内的逃逸链，Critical
128            ("{{7*7}}", Severity::Critical),
129            ("{{ ''.__class__.__mro__[1].__subclasses__() }}", Severity::Critical),
130            ("${7*7}", Severity::Critical),
131            ("{% include '/etc/passwd' %}", Severity::Critical),
132            ("{{config.__init__.__globals__}}", Severity::Critical),
133            // 弱信号：模板指令出现本身，Low
134            ("<%= params[:x] %>", Severity::Low),
135            (r#"<%@ page import="java.util.*" %>"#, Severity::Low),
136            ("#set($x = 5)", Severity::Low),
137        ] {
138            assert_hit_at(input, severity);
139        }
140    }
141
142    /// 正常模板源码。`{% if %}`、`<%= @user.name %>`、`#set(`、`<#assign>` 是各自模板
143    /// 语言的功能写法，每个模板文件都长这样；它们曾按 Critical 被判 SSTI，整份文件被拒。
144    #[test]
145    fn template_source_is_low_not_critical() {
146        for input in [
147            "{% if user.is_admin %}\n  <p>Admin</p>\n{% endif %}",
148            "{% for item in items %}\n  <li>{{ item.name }}</li>\n{% endfor %}",
149            "<h1>Hello <%= @user.name %></h1>",
150            r#"<%@ page language="java" contentType="text/html; charset=UTF-8" %>"#,
151            "#set($x = 5)",
152            "<#assign title=\"Home\">",
153        ] {
154            assert_hit_at(input, Severity::Low);
155        }
156    }
157
158    /// 裸魔术属性是普通 Python：`self.__class__.__name__` / `obj.__dict__` /
159    /// 插件注册表的 `Plugin.__subclasses__()`。定界符内的同名字段仍是 Critical。
160    #[test]
161    fn bare_python_dunders_are_low_but_delimited_ones_stay_critical() {
162        for input in [
163            "return f\"<Store {self.__class__.__name__}>\"",
164            "return dict(self.__dict__)",
165            "return [c for c in Plugin.__subclasses__()]",
166        ] {
167            assert_hit_at(input, Severity::Low);
168        }
169        for input in [
170            "{{ self.__dict__ }}",
171            "{{ ''.__class__.__mro__ }}",
172            "${config.__class__}",
173        ] {
174            assert_hit(input);
175        }
176    }
177
178    /// 正常 Python 里 `__getitem__` / `__set_name__` 这类协议方法不是逃逸链 ——
179    /// 白名单只含 6 个逃逸用的魔术属性名，别的一个都不碰。
180    #[test]
181    fn python_protocol_methods_not_detected() {
182        for input in [
183            "def __getitem__(self, key):\n    return self._data[key]",
184            "__set_name__ is called by the descriptor protocol.",
185            "def __getattr__(self, name):\n    raise AttributeError(name)",
186        ] {
187            crate::test_helpers::assert_clean(&det(), input);
188        }
189    }
190
191    #[test]
192    fn benign_inputs_not_detected() {
193        for input in [
194            "Hello, this is a normal text input. Nothing suspicious here.",
195            "The total is $5.00 plus tax",
196            "Please enter your name below",
197            "The class of 2026 graduates in May",
198            "100% of users agree with this",
199        ] {
200            assert!(det().detect(input).is_none(), "false positive: {input}");
201        }
202    }
203
204    /// 变量插值到处都是，定界符本身不是信号
205    #[test]
206    fn plain_interpolation_not_detected() {
207        for input in [
208            "the price is ${amount}",
209            "${user}${pass}",
210            "@Value(\"${x.y.z}\")",
211            "${env:JAVA_HOME}",
212            "const x = `${name}`",
213            "${#strings.toUpperCase(name)}",
214            "{{ name }}",
215            "{{ app_config }}",
216            "${timeout:30s}",
217            "${PATH:-/usr/bin}",
218        ] {
219            assert!(det().detect(input).is_none(), "false positive: {input}");
220        }
221    }
222
223    /// 求值探针与运行时访问才是信号
224    #[test]
225    fn evaluation_probes_and_runtime_access_detected() {
226        for input in [
227            "${7*7}",
228            "{{7*7}}",
229            "{{ 7 * 7 }}",
230            // 字面量数字两侧 —— 与模板源码同形的已知上限，钉住它以免被「修掉」
231            "{{ 10 % 2 }}",
232            "total = {{ 10 % 2 }}",
233            "${{7*7}}",
234            "<%= 7*7 %>",
235            "{{config}}",
236            "{{ config.items }}",
237            "${T(java.lang.Runtime)}",
238            "${@java.lang.Runtime@getRuntime()}",
239            "{{ ''.__class__.__mro__ }}",
240            "{{ self.__dict__ }}",
241        ] {
242            assert_hit(input);
243        }
244    }
245
246    /// 带引号的操作数与 FreeMarker 指令
247    #[test]
248    fn freemarker_and_quoted_operand_detected() {
249        for input in [
250            "{{7*'7'}}",
251            r#"{{7*"7"}}"#,
252            "<#assign ex=\"freemarker.template.utility.Execute\"?new()>${ex(\"id\")}",
253            r#"${"freemarker.template.utility.Execute"?new()("id")}"#,
254        ] {
255            assert_hit(input);
256        }
257    }
258
259    /// 反向对照：`#assign` 的那个 `#` 在 HTML/URL 里满地都是，`?new` 也一样
260    #[test]
261    fn assign_and_new_lookalikes_not_detected() {
262        for input in [
263            r##"<a href="#assign something">x</a>"##,
264            r##"<a href="#assign">x</a>"##,
265            "https://example.com/#assign-section",
266            "q?new=1",             // `?new` 后面不是 (
267            "{{ '7' }}",           // 带引号的数字，但没有运算
268            r#"{{ "hello" * 3 }}"#, // 运算符两侧没有数字对
269            // 求值探针的边界：两侧都是**字面量数字**才报，标识符操作数不报。
270            // `{{ 10 % 2 }}` 报 Critical 是已知上限（见文件头注释），不是待修的 bug。
271            "{{ count % 2 }}",
272            "{{ n % 10 }}",
273            "{{ a % b }}",
274            "The template renders the remainder of {{ a % b }} on the page.",
275        ] {
276            assert!(det().detect(input).is_none(), "false positive: {input}");
277        }
278    }
279
280    #[test]
281    fn edge_cases() {
282        assert!(det().detect("").is_none());
283        assert!(det().detect(" \t\n ").is_none());
284        assert!(det().detect("你好世界 こんにちは").is_none());
285        // near misses: delimiters incomplete, or magic names uppercase (case-sensitive)
286        assert!(det().detect("{7*7}").is_none());
287        assert!(det().detect("{{7*7").is_none());
288        assert!(det().detect("__CLASS__").is_none());
289        assert!(det().detect("{$x=7}").is_none());
290    }
291
292    #[test]
293    fn obfuscated_variants_detected() {
294        for input in [
295            "{{ ''.__class__.__MRO__[1] }}",
296            "{{ self.__dict__ }}",
297            "{{request.application.__globals__}}",
298        ] {
299            assert_hit(input);
300        }
301    }
302}
303
security_rust/injection/ssti.rs

security_rust/injection/
ssti.rs
