Welcome To Myon'Blog !

当然，我们也可以按照上一题 {%print((lipsum|attr(gl)|string|list).pop(431))%} 的方法定位斜杠的位置，继续做拼接，按理来说是可行的，各位自行尝试，我只是觉得那样做复杂了。重新找一遍太折腾了，我们这里换 payload，不再构造数字了，直接用全角数字替换半角数字。看了其他wp发现这道题有更简单的方法，大家自行摸索，我这里还是做复杂了。因此我们前面构造的字符就会有区别，需要重新定位字符的位置。上一题演示的是外带，这里我们尝试反弹 shell。

这个 payload 是一次性的，因为 pop 会删除里面的键，导致环境崩溃。对于这种没有过滤的，还有其他很多很多方法，这里就不列举了。前面的 payload 太长了，构造起来比较麻烦和乱。更保险的是使用 __getitem__ ，方法同上。（1）使用子类可以直接调用的函数来打。模糊测试看一下，过滤了 2 和 3。双大括号中过滤了 request。测试一下存在 SSTI 注入。并且 post 传参不允许。那就传给 cookie 吧。但是 {% %} 中可用。一起传给 cookie。

Python的模块注入 flask/jinja2 常用于ssti的魔术方法 获取基类的几种方法 获取基本类的子类 采用os模块的listdir函数来读取目录 常用payload

1、过滤了中括号2、过滤了双下划线3、过滤了单下划线4、过滤了点5、过滤了大括号6、过滤了引号7、过滤了数字

一、查找函数位置，利用函数实现1、利用file函数进行读取2、利用内嵌函数eval进行命令执行3、利用linecache函数进行命令执行二、查找类的位置，利用类下的函数实现1、利用_frozen_importlib_external.FileLoader类2、利用importlib类进行命令执行3、利用subprocess.Popen类进行命令执行三、利用os模块进行命令执行1、利用config2、利用url_for3、利用子类的os模块四、关于其他的利用

1、原理简述2、常用payload及相关脚本函数调用、高危函数3、实战：攻防世界 Web_python_template_injection

[CSCCTF 2019 Qual] FlaskLight；SSTI模块注入；利用subprocess.Popen类实现命令执行