攻防世界Web_python_template_injection

打開題目：  題目提示爲Python模塊注入：   1首先判斷一下： 網址輸入「{{7+7}}」頁面顯示14，說面存在「SSTI」 ： SSTI也是獲取了一個輸入，然後再後端的渲染處理上進行了語句的拼接，然後執行。當然還是和sql注入有所不同的，SSTI利用的是現在的網站模板引擎(下面會提到)，主要針對python、php、java的一些網站處理框架，比如Python的jinja2 mako to

>>阅读原文<<