SSTI

什么是 SSTI

• SSTI（Server Side Template Injection，服务器端模板注入）服务端接收攻击者的输入，将其作为 Web 应用模板内容的一部分
• 在进行目标编译渲染的过程中，进行了语句的拼接，执行了所插入的恶意内容
• 从而导致信息泄露、代码执行、GetShell 等问题，其影响范围取决于模版引擎复杂性

各语言框架 SSTI

• PHP：smarty、twig
• Python：jinja2、mako、tornad、Django
• java：Thymeleaf、jade、velocity、FreeMarker

Engine	Language	Burp	ZAP	tplmap	site done	known exploit	port	tags
jinja2	Python	√	√	√	√	√	5000
Mako	Python	√	√	√	√	√	5001	$