夜雨聆风一、SSTI基础概念
1.1 什么是SSTI
SSTI 全称 Server-Side Template Injection（服务端模板注入），是一种服务端高危代码注入漏洞。
网站开发为了实现前后端数据动态渲染，会使用模板引擎解析模板文件/模板字符串，将后端变量、数据拼接渲染为最终的HTML页面。若服务端直接将用户可控输入拼接到模板语句中，而非单纯作为变量传入，攻击者即可构造恶意模板语法，被服务端模板引擎解析执行，最终实现任意代码执行、文件读取、命令执行、服务器沦陷。
1.2 核心漏洞成因
根本原因：用户可控输入 → 拼接进模板代码 → 服务端模板引擎解析执行
正常业务流程：用户输入仅作为变量值传入模板，仅做渲染展示，无法执行语法。
漏洞触发流程：用户输入被拼接为模板语法的一部分，模板引擎将用户输入识别为可执行代码/表达式，而非普通文本，造成代码执行。
1.3 SSTI与XSS核心区别
XSS（跨站脚本）：前端漏洞，恶意代码在用户浏览器执行，仅劫持前端权限。
SSTI（模板注入）：服务端漏洞，恶意代码在服务器后端执行，直接获取服务器权限，危害远高于XSS。
二、SSTI漏洞利用分类
2.1 按漏洞触发方式分类
1. 直接模板注入
服务端直接将用户输入拼接至模板字符串，无任何过滤、转义，用户输入可直接被模板引擎解析。漏洞触发简单、利用成功率极高，属于高危漏洞。
示例伪代码：
python # Flask 危险写法 user_input = request.args.get("name") template = "Hello " + user_input# 直接拼接用户输入 return render_template_string(template) |
2. 二次模板注入
用户输入先被存储到数据库、缓存、日志等位置，本身无直接注入点；后续服务端读取该存储数据并拼接进模板渲染时，触发模板注入。属于隐性漏洞，挖掘难度更高，常被忽略。
3. 过滤绕过型SSTI
服务端对常规模板关键字、特殊符号（如{{、}}、[]、class）做了过滤、黑名单拦截，攻击者通过编码、拼接、变形、绕过语法限制，执行恶意模板语句。
2.2 按利用危害等级分类
1. 信息泄露型（低危）
仅可读取服务端变量、配置信息、路径、版本信息，无法执行命令和读写文件。
2. 文件操作型（中危）
可通过模板内置类、方法，读取服务器任意文件、写入恶意文件（后门、webshell）。
3. 代码/命令执行型（高危）
可调用系统命令、执行后端代码，完全控制服务器，是SSTI最核心的利用方式。
三、主流模板语言引擎适配
不同后端语言对应不同模板引擎，语法、Payload、利用链完全不同，是SSTI挖掘与利用的核心依据。
3.1 Python 主流模板引擎
1. Jinja2（Flask/Django常用）
默认语法：{{ 表达式 }} 执行变量输出、表达式运算；{% 代码块 %} 执行逻辑语句。
核心特性：支持对象溯源、内置类调用，可通过继承链寻找可执行类，利用链丰富。
2. Mako
语法更宽松，支持原生Python代码嵌入，注入后直接执行Python代码，利用难度极低、危害极大。
3. Tornado
语法与Jinja2类似，支持表达式执行，可通过内置方法实现文件读取、代码执行。
3.2 Java 主流模板引擎
1. FreeMarker
经典Java模板引擎，支持EL表达式，存在表达式注入漏洞，可执行Java代码、读取配置文件。
2. Thymeleaf（SpringBoot默认）
SpringBoot项目标配模板引擎，高危SSTI漏洞多发，通过标准表达式可实现命令执行。
3. Velocity
老旧Java项目常用，模板语法简单，注入后可调用Java原生类执行恶意操作。
3.3 PHP 主流模板引擎
1. Twig（Laravel默认）
Laravel框架专用模板引擎，存在经典SSTI漏洞，可通过构造恶意表达式执行PHP代码。
2. Smarty
老牌PHP模板引擎，低版本存在严重模板注入漏洞，可直接执行系统命令。
3.4 NodeJS 模板引擎
EJS、Nunjucks、Handlebars 等引擎均存在SSTI风险，可实现NodeJS代码执行、服务器信息读取。
四、模板数据渲染机制
4.1 正常安全渲染流程
1.后端定义模板结构，预留变量占位符；
2.接收用户输入，将输入内容赋值给模板变量；
3.模板引擎解析时，仅将变量值作为纯文本渲染；
4.用户输入的特殊语法、符号会被转义，无法触发模板解析。
安全核心：输入是数据，不是代码。
4.2 危险漏洞渲染流程
1.后端直接将用户输入拼接进模板源码；
2.模板引擎整体解析拼接后的完整模板字符串；
3.用户输入的 {{}}、${} 等模板语法被识别为可执行表达式；
4.引擎执行恶意表达式，触发代码执行、文件读取等攻击行为。
漏洞核心：输入被当做模板代码解析执行。
4.3 渲染区别
传参渲染：安全，仅展示数据，语法不执行；
拼接渲染：危险，数据变代码，触发SSTI注入。
五、SSTI核心利用方式与Payload思路
5.1 通用判断Payload（识别SSTI漏洞）
通过数学运算判断是否存在模板解析，区分普通文本回显和模板执行：
{{2*3}}：若页面回显 6，证明存在SSTI，模板可执行表达式；
${2*3}：适配Java、Node部分引擎；
%7B%7B2*3%7D%7D：URL编码绕过基础拦截。
5.2 Python-Jinja2 核心利用链
1. 读取服务器信息
python {{config}}# 读取Flask全局配置、密钥、路径 {{self.__dict__}}# 读取模板对象属性 |
2. 文件读取利用
python {{().__class__.__bases__[0].__subclasses__()[40]('/etc/passwd','r').read()}} |
3. 系统命令执行
python # 通用命令执行payload {{().__class__.__bases__[0].__subclasses__()[137].__init__.__globals__['popen']('whoami').read()}} |
5.3 Java-Thymeleaf 利用
Thymeleaf 核心语法 ${}，可直接执行Java代码：
java ${T(java.lang.Runtime).getRuntime().exec("calc")} |
5.4 PHP-Twig 利用
php {{system('whoami')}} |
5.5 常见绕过思路
关键字过滤：拼接绕过、大小写绕过、编码绕过；
符号过滤：括号、引号绕过，利用模板默认变量替代；
黑名单类过滤：更换继承链下标、替换可执行类。
六、SSTI挖掘&实战工具汇总
6.1 自动化扫描工具
1. Tplmap（SSTI专用扫描利用工具）
业内最专业的SSTI检测工具，支持全语言模板引擎，可自动识别漏洞、自动适配Payload、一键getshell。
核心功能：自动识别模板引擎、漏洞验证、文件读写、命令执行、反弹shell。
常用命令：
bash python tplmap.py -u "http://xxx/?name=test" |
2. BurpSuite 插件
SSTI Scanner：批量扫描请求参数，检测模板注入漏洞，适配渗透测试流程。
3. Xray 漏洞扫描器
内置SSTI漏洞检测规则，支持自动化挖掘主流框架的模板注入漏洞。
6.2 手动测试工具
Payload字典：各类引擎专用SSTI Payload集合，快速测试验证；
编码工具：URL编码、Unicode编码，用于绕过WAF和过滤；
在线模板解析平台：快速验证模板语法执行效果。
七、SSTI完整挖掘思路
7.1 漏洞发现阶段
1.寻找用户可控参数：GET/POST参数、Cookie、Header、自定义输入点；
2.判断回显位置：输入内容直接展示在页面、标题、弹窗、日志等前端位置；
3.初步检测：插入 {{2*3}}、${2*3} 等运算Payload，观察页面是否执行运算。
7.2 模板引擎识别阶段
1.根据网站框架判断：Flask→Jinja2、SpringBoot→Thymeleaf、Laravel→Twig；
2.通过语法测试区分：不同引擎对括号、变量、表达式的解析规则不同；
3.利用工具自动识别：Tplmap、Xray自动匹配引擎类型。
7.3 漏洞验证与利用阶段
1.基础验证：确认表达式可执行，判定漏洞存在；
2.信息探测：读取配置、路径、系统版本、用户信息；
3.深度利用：文件读取、写入后门、系统命令执行、反弹shell；
4.过滤绕过：针对拦截规则，变形Payload实现绕过利用。
7.4 二次注入挖掘思路
1.寻找可存储输入点：评论、昵称、签名、日志内容；
2.插入隐蔽模板Payload并提交存储；
3.寻找后台读取、展示该数据的页面，触发二次渲染执行；
4.验证漏洞可行性，完成利用。
