什么？你还分不清RCE和SSTI？我直接裂开！
哎哟喂，兄弟们，今天咱们不聊虚的，就唠唠那个让无数新手小白抓耳挠腮的俩玩意儿——RCE和SSTI，说真的，我当初刚入行那会儿，看到这俩缩写，脑子里全是问号，心想这都啥跟啥啊？是不是哪个歪果仁发明的神秘暗号？哈哈，结果一查资料，好家伙，一个是“远程代码执行”，一个是“服务器端模板注入”，听着就头大，对吧？别急，今儿我这个“老油条”就掰开揉碎了给你们讲讲，保证你们听完直拍大腿：“哦~~~原来这么回事儿！”
先说RCE这尊大佛，那可不是闹着玩的
咱们把网站想象成一个大房子，RCE（Remote Code Execution）就是啥呢？就是别人直接拿到了你家的钥匙，还能在你家客厅里为所欲为！你说吓不吓人？这可不是偷看你日记那么简单了，那是直接在你家墙上乱涂乱画，甚至把你家承重墙给拆了！嘿,就是这么暴力。
我记得我第一次实战演练遇到RCE漏洞的时候，手心全是汗呐！那感觉，就像你辛辛苦苦盖了个沙堡，结果一个大浪打过来，全没了，还给你留下个贝壳说“谢谢惠顾”。这种漏洞最可怕的地方在于，它能让攻击者执行系统命令，比如什么whoami啊、ls -la啊，那都是小儿科，狠一点直接给你上个rm -rf /，你说你怕不怕？反正我当时是吓得一哆嗦，赶紧把测试环境给关了，所以啊，RCE漏洞通常出现在那些不老实过滤用户输入的地方，比如文件上传啊、命令拼接啊，一不留神，就被人“偷家”了。
再唠SSTI，这玩意儿更阴险，防不胜防
跟RCE那个“莽夫”不一样，SSTI（Server-Side Template Injection）更像是一个“笑里藏刀”的刺客，你说它坏不坏？它不直接硬闯你家，而是在你家门口的“留言板”上写点特殊东西，结果你家的“智能管家”（模板引擎）看不懂，还傻乎乎地照着执行了，哎,你说这找谁说理去？
我上次看一个技术大牛的博客，他打了一个比方，我至今记忆犹新，他说SSTI就像你把一块橡皮泥（用户输入）递给了雕塑家（模板引擎），你说是“给我捏个猪”，人家给你捏出来了，但你要是说“给我捏个炸弹”，人家也给你捏了，还炸了，好家伙，这玩意儿一旦被利用，往往可以直接升级成RCE！这就很尴尬了，本来是想优雅地绕过去，结果直接“平推”了，特别是在一些主流的框架，比如Jinja2、Twig这些地方，如果程序员稍微偷个懒，没做安全编码，那后果……啧啧,我都不敢想象。
所以你看，RCE和SSTI根本就是“父子”关系，SSTI往往是通往RCE的一条“捷径”，这俩兄弟，一个硬刚正面，一个专攻智商,真的是让咱们这些防御者防不胜防。
咱们普通人和这两个“大魔王”有啥关系？
别觉得这事儿离你很远！我跟你们讲，现在很多杂七杂八的网站，功能多到飞起，什么自定义模板啊、动态页面渲染啊，这里面全是雷！我们做测试的，或者搞安全的，最重要的就是要有这个“敏感度”，你看到一个输入框，或者一个URL参数，脑子里第一反应不是“哦这是个正常的参数”，而是“咦，我输入个{{7*7}}看看它会不会变成49”，这才叫专业,懂吧？
RCE是目标，SSTI是手段。认清它们，比啥都强。 我这人说话直，也不想整那些花里胡哨的术语，说白了就是：你连这些都没搞明白，还怎么在市场里混饭吃？ 赶紧的，对照着你自己的项目，看看有没有什么动态渲染的地方，自己给自己测一测,别光说不练。
行了，今天就跟大伙儿唠到这儿，这网络安全的水深着呢，咱们得多学多练，如果你也对这方面感兴趣，或者正愁没人指点迷津,那咱们可以私下交流交流！
学习网络安全可以加QQ：2815783637
好了，我得去喝口水压压惊了，一想到这些漏洞就后怕，咱们下期再见,拜了个拜！
