攻防世界Web_python_template_injection

打开题目：  题目提示为Python模块注入：   1首先判断一下： 网址输入“{{7+7}}”页面显示14，说面存在“SSTI” ： SSTI也是获取了一个输入，然后再后端的渲染处理上进行了语句的拼接，然后执行。当然还是和sql注入有所不同的，SSTI利用的是现在的网站模板引擎(下面会提到)，主要针对python、php、java的一些网站处理框架，比如Python的jinja2 mako to

>>阅读原文<<