BJDCTF2020 Cookie is so stable

打开靶机

左点右点没啥头绪，看了wp说是ssti注入。那我们在flag页面输入{{4*4}}试一下。

的确存在ssti注入，但在flag页面payload不行，因为提示了cookie，cookie里存储了值，在这个页面会被拦截。那就抓包改cookie吧。在F12也能改，但在我这貌似出了点问题，还是老老实实抓包吧。抓包后在cookie里加入

user：{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

得到flag，ssti模板注入不太懂，长见识了。