weixin_45534587的博客

SSTI，即服务器端模板注入（Server-Side Template Injection），是一种注入攻击，漏洞成因就是服务端接收了用户的恶意输入以后，未经任何处理就将其作为 Web 应用模板内容的一部分，模板引擎在进行目标编译渲染的过程中，没有严格控制对用户的输入，使用了危险的模板，导致执行了用户插入的可以破坏模板的语句，因而可能导致了敏感信息泄露、代码执行、GetShell 等问题。