SSTI(模块注入)的简单学习

一，什么是ssti

SSTI即服务端模版注入攻击。由于程序员代码编写不当，导致用户输入可以修改服务端模版的执行逻辑，从而造成XSS,任意文件读取，代码执行等一系列问题。

二，常见的服务器模板引擎

1，php中常见的

（1）Smarty

Smarty算是一种很老的PHP模板引擎了，非常的经典，使用的比较广泛

（2）Twig

Twig是来自于Symfony的模板引擎，它非常易于安装和使用。它的操作有点像Mustache和liquid。

（3）Blade

Blade 是 Laravel 提供的一个既简单又强大的模板引擎。

和其他流行的 PHP 模板引擎不一样，Blade 并不限制你在视图中使用原生 PHP 代码。所有 Blade 视图文件都将被编译成原生的 PHP 代码并缓存起来，除非它被修改，否则不会重新编译，这就意味着 Blade 基本上不会给你的应用增加任何额外负担。

2，java中常见的

（1）JSP

非常的经典的模块引擎

（2）FreeMarker

FreeMarker是一款模板引擎： 即一种基于模板和要改变的数据， 并用来生成输出文本（HTML网页、电子邮件、配置文件、源代码等）的通用工具。 它不是面向最终用户的，而是一个Java类库，是一款程序员可以嵌入他们所开发产品的组件。

（3）Velocity

Velocity作为历史悠久的模板引擎不单单可以替代JSP作为Java Web的