[SCTF 2021]loginme

题目的提示是CVE-2020-28483，我提前去查了一下。A flaw was found in gin when exposed directly to the internet, a client’s IP can be spoofed by setting the X-Forwarded-For header.

意思就是说用了gin框架的会出现漏洞可以用XFF文件头伪造admin

打开题目看到提示：

抓个包先伪造先

X-Real-ip:127.0.0.1

注意到这个id和名字，我们切换试试

直到最后换到4，观察结果

似乎是把我的输入给输出出来了，那我们试试模板注入

好像没有执行，这个时候回想到这个题用的是go语言的gin框架，go语言模板渲染支持传入一个结构体的实例来渲染它的字段，就有可能造成信息泄露

意思是什么呢？go语言中使用的是{{.name}}代表要应用的对象，所以可以让age={{.Password}}

我发现直接用.也可，翻了其他博主的wp是这个原因