xctf_python_template_injection

[目标] Python模板注入 [环境] Windows [工具] 浏览器 [分析] 1.根据题目可看出是python的模板注入 python 发现执行此命令，所以是SSTI 2.利用{{}}来查看服务器配置 命令{{config.items()}} git 3.执行命令，查看目录 os.listdir() 方法用于返回指定的文件夹包含的文件或文件夹的名字的列表。这个列表以字母顺序。 它不包括 ‘

>>阅读原文<<