【网络安全 | 2w字总结】SSTI漏洞入门

【精选优质专栏推荐】

• 《AI 技术前沿》 —— 紧跟 AI 最新趋势与应用
• 《网络安全新手快速入门(附漏洞挖掘案例)》 —— 零基础安全入门必看
• 《BurpSuite 入门教程(附实战图文)》 —— 渗透测试必备工具详解
• 《网安渗透工具使用教程(全)》 —— 一站式工具手册
• 《CTF 新手入门实战教程》 —— 从题目讲解到实战技巧
• 《前后端项目开发(新手必知必会)》 —— 实战驱动快速上手

每个专栏均配有案例与图文讲解，循序渐进，适合新手与进阶学习者，欢迎订阅。

---

读者可参考、订阅网络安全专栏：【网络安全：攻防兼备 | 优快云秋说】

---

什么是SSTI

SSTI（Server-Side Template Injection）是一种服务器端模板注入漏洞，它出现在使用模板引擎的Web应用程序中。模板引擎是一种将动态数据与静态模板结合生成最终输出的工具。然而，如果在构建模板时未正确处理用户输入，就可能导致SSTI漏洞的产生。

sql注入的成因是：当后端脚本语言进行数据库查询时，可以构造输入语句来进行拼接，从而实现恶意sql查询。

SSTI与其相似，服务端将输入作为web应用模板内容的一部分，在进行目标编译渲染的过程中，拼接了恶意语句，因此造成敏感信息泄露、远程命令执行等问题。

---

SSTI类型有哪些

在PHP、Java和Python这三种常用的编程语言中，都有一些流行的模板引擎。

PHP:
1.Smarty：Smarty是PHP语言中广泛使用的模板引擎，它提供了强大的模板分离和逻辑控制功能。

2.Twig：Twig是一个现代化的PHP模板引擎，被广泛用于Symfony框架等PHP应用程序中。

3.Blade：Blade是Laravel框架的默认模板引擎，它提供了简洁的语法和强大的模板继承特性。

Java:
1.Thymeleaf：