模板注入(SSTI)攻击(jinja2)

时间 2020-12-29

原文原文链接

和常见Web注入(SQL注入等)的成因一样，也是服务端接收了用户的输入，将其作为 Web 应用模板内容的一部分，在进行目标编译渲染的过程中，执行了用户插入的恶意内容，因而可能导致了敏感信息泄露、代码执行、GetShell 等问题。其影响范围主要取决于模版引擎的复杂性。(web安全中的真理：永远不要相信用户的输入) 以一道CTF为例，简单演示一下注入的流程及一些被过滤了的命令的构造方法；首先打开网

>>阅读原文<<

1. SSTI(模板注入)
2. SSTI模板注入
3. 初识SSTI(服务端模板注入攻击)
4. 有关于服务端模板注入（ssti攻击）——BUUCTF - easy_tornado
5. Flask（Jinja2）服务端模板注入漏洞(SSTI)
6. python-Flask模版注入攻击SSTI(python沙盒逃逸)
7. CTF SSTI(服务器模板注入)
8. SSTI (服务器模板注入)
9. SSTI-服务端模板注入漏洞
10. Python模块注入-SSTI
更多相关文章...
• SQLite 注入 - SQLite教程
• Maven 项目模板 - Maven教程
• 委托模式
• YAML 入门教程