笔试题目SSTI模板

本文目录导读：

笔试遇SSTI，我是怎么从懵圈到开窍的？
这些坑你们千万别再踩了！
笔试后的碎碎念

SSTI模板,我差点在考场上哭出来！谁懂啊？

姐妹们兄弟们,我真的服了！昨天去参加一家安全公司的笔试，打开试卷那一刻我整个人都麻了——笔试题目SSTI模板这几个大字赫然在列，我的天老爷，这不是要我的老命吗？！（捂脸）

说实话,我之前刷题的时候也见过SSTI相关的题目，但都是那种“了解即可”的程度，结果呢？好家伙，这次笔试直接上硬菜，让我手写一个模板注入的payload，我当场脑子就像被清空了硬盘一样，啥都记不起来了，呜呜呜…… SSTI模板到底是什么鬼？

先给跟我一样曾经懵圈的兄弟姐妹们科普一下哈,SSTI全称是Server-Side Template Injection，翻成大白话就是服务端模板注入，它跟SQL注入啊、XSS这些老牌漏洞不同，这玩意儿玩的是模板引擎的解析逻辑，攻击者把恶意代码塞进模板里，如果服务端没做好过滤，那你的代码就会被模板引擎当成“自己人”来执行，这不就沦陷了吗？

我在笔试的时候看到题目要求的是Jinja2的SSTI利用,当时感觉心跳瞬间飙到180！因为我只记得{{7*7}}这种最基础的探测，再往深了写就卡壳了，气死了气死了！考完之后我复盘了一下，发现这类笔试题目SSTI模板其实有很清晰的套路，真的不能死记硬背，要理解背后的原理啊大家！

笔试遇SSTI，我是怎么从懵圈到开窍的？

考场上我们要保持淡定（虽然我承认我当时快疯掉了），拿到SSTI的题，第一步永远是先探测！你可以在输入框、URL参数里填入{{7*7}}，跑出来是49，那基本就可以锁定模板注入了，我当时就栽在第一步，因为那个输入框居然有WAF拦截，气得我直跺脚！

如果遇到WAF,咱们就得想办法绕过了，比如说用{%print(7*7)%}替代花括号，或者用${7*7}这种呢？不同模板引擎语法不一样，笔试题目SSTI模板考的其实就是你对引擎的理解程度，Jinja2用和，FreeMarker用，Velocity用#set，这些真的不能搞混啊！

我当时栽的第二个坑就是命令执行的payload构造，笔试时给出一个环境，要求读取/etc/passwd，我心急火燎地写了{{().__class__.__mro__[1].__subclasses__()}}，结果输出一长串类名把我整崩溃了，后来才明白应该一步步找OS模块或者subprocess，还得用popen('cat /etc/passwd').read()才行！这种细节，没有实操过的朋友真的容易翻车。

这些坑你们千万别再踩了！

别指望一个万能payload走天下！不同环境里，Python的模块结构、内置函数被禁用的程度完全不一样，笔试题目SSTI模板再变，核心思路都是“找基类→找子类→找危险函数”，但你得会随机应变，灵活利用__globals__、__builtins__这些东西。
读题要仔细再仔细啊！有的题目是让你读文件，有的是让你列目录，还有的是直接执行命令，我那个考场上一哥们儿，人家问读环境变量，他死活搞命令执行，最后把临时目录翻了个底朝天，结果一分没得，我看着都替他心痛，唉。
一定要准备Payload字典！我这次考完回来后，专门整理了一个SSTI的备忘录，里面有针对Jinja2、Twig、Smarty的各种利用链，但这玩意儿光背没用，得知道每一步在干嘛，不然考场上只要有一点变动你就又会变成大傻子，真的！