Владислав Корчагин. Нелогические предположения – ищем RCE в безопасных шаблонизаторах

Владислав Корчагин Независимый исследователь Один из основных способов защитить свое веб-приложение от SSTI — это использование простых шаблонизаторов без сложных логических конструкций и возможности выполнения кода. Но насколько этот подход действительно безопасен? Исследование спикера на практике демонстрирует опасность слепого доверия «безопасным» решениям, подробно описывая процесс поиска универсальных RCE для двух неопасных, на первый взгляд, шаблонизаторов. Кроме этого, автор оценивает возможности получения RCE в 15 простых шаблонизаторах, подсвечивая потенциально опасные функции. Владислав продемонстрирует весь путь исследования — от предпосылок до получения RCE, а также расскажет о способах исправления найденных уязвимостей. Доклад содержит практические советы по разработке полезных нагрузок, что может пригодиться при анализе защищенности других шаблонизаторов без выполнения кода. Выявленные уязвимости будут опубликованы в качестве модулей для инструмента с открытым исходным кодом.