什么是SSTI
SSTI：开局一张图，姿势全靠y
SSTI，即服务器端模板注入（Server-SideTemplateInjection）
常见的注入有：SQL注入，XSS注入，XPATH注入，XML注入，代码注入，命令注入等等。sql注入已经出世很多年了，对于sql注入的概念和原理很多人应该是相当清楚了，SSTI也是注入类的漏洞，其成因其实是可以类比于sql注入的。
sql注入的成因是从用户获得一个输入后，经过后端脚本语言进行数据库查询，这时我们就可以构造输入语句来进行拼接，从而实现我们想要的sql语句
SSTI也是如此，不过SSTI是在服务端接收了输入后，将其作为web应用模板内容的一部分，在进行目标编译渲染的过程中，将恶意语句进行了拼接，因此可能造成敏感信息泄露、代码执行、getshell等问题
在这我会简单以常见的Twig模板引擎进行演示，有所遗漏错误，欢迎各位师傅们进行补充纠正
模板引擎
模板是一种提供给进行解析的一种语法，从初始数据到实际的视觉表达靠的就是这一项工作所实现的，且这种手段是同时存在于前后端的
常见的模板引擎有
1.php常用的
Smarty
Smarty算是一种很老的PHP模板引擎了，非常的经典，使用的比较广泛
Twig
Twig是来自于Symfony的模板引擎，它非常易于安装和使用。它的操作有点像Mustache和liquid。
Blade
Blade是Laravel提供的既简单又强大的模板引擎。
和其他流行的PHP模板引擎不一样，Blade并不限制你在视图中使用原生PHP代码。所有Blade视图文件都将被编译成原生的PHP代码并起来，除非它被修改，否则不会重新编译，这就意味着Blade基本上不会给你的应用增加任何额外负担。
2.Java常用的
JSP
这个引擎我想应该没人不知道吧，这个应该也是我最初学习的一个模板引擎，非常的经典
FreeMarker
FreeMarker是一款模板引擎：即一种基于模板和要改变的数据，并用来生成输出文本（HTML网页、电子邮件、配置文件、源代码等）的通用工具。它不是面向最终用户的，而是一个Java类库，是一款程序员可以嵌入他们所开发产品的组件。
Velocity
Velocity作为历史悠久的模板引擎不单单可以替代JSP作为JavaWeb的服务端网页模板引擎，而且可以作为普通文本的模板引擎来增强服务端程序文本处理能力。
3.Python常用的
Jinja2
flaskjinja2一直是一起说的，使用非常的广泛，是我学习的第一个模板引擎
django
django应该使用的是专属于自己的一个模板引擎，我这里姑且就叫他django，我们都知道django以快速开发著称，有自己好用的ORM，他的很多东西都是耦合性非常高的，你使用别的就不能发挥出django的特性了
tornado
tornado也有属于自己的一套模板引擎，tornado强调的是异步非阻塞高并发
形形色色的模板引擎为了达到渲染效果，总会对用户输入有所处理，这也就给攻击者提供了道路，尽管模板引擎也会相应提供沙箱机制进行保护，但是也存在沙箱逃逸技术可以进行绕过
攻击思路
找到模板是什么模板引擎，是哪个版本的，然后设法利用模板的内置方法，进行rce、getshell
PHP-Twig
Twig被许多开源项目使用，比如Symfony、Drupal8、eZPublish、phpBB、Matomo、OroCRM；许多框架也支持Twig，比如Slim、Yii、Laravel和Codeigniter等等。
本地复现可以用