SSTI之细说jinja2的常用构造及利用思路

现在关于ssti注入的文章数不胜数，但大多数是关于各种命令语句的构造语句，且没有根据版本、过滤等具体细分，导致读者可能有一种千篇一律的感觉。所以最近详细整理了一些SSTI常用的payload、利用思路…

 dingjiacan@antvsion.com 2023-04-04 11:16:22

11,276 0 0

浅学Go下的ssti

前言作为强类型的静态语言，golang的安全属性从编译过程就能够避免大多数安全问题，一般来说也唯有依赖库和开发者自己所编写的操作漏洞，才有可能形成漏洞利用点，在本文，主要学习探讨一下golang的一些…

 dingjiacan@antvsion.com 2022-11-24 15:31:44

8,923 0 3

Java FreeMarker 模板引擎注入深入分析

温馨提示：图片有点多，请耐心阅读哦0x01 前言最近和 F1or 大师傅一起挖洞的时候发现一处某 CMS SSTI 的 0day，之前自己在复现 jpress 的一些漏洞的时候也发…

 dingjiacan@antvsion.com 2022-11-23 14:37:41

8,922 0 4

关于Flask SSTI，解锁你不知道的新姿势

这是 酒仙桥六号部队 的第 31 篇文章。全文共计2388个字，预计阅读时长8分钟。前言本文主要介绍笔者在学习Flask SSTI相关知识时，无意中解锁了新姿势。在研究原…

 酒仙桥六号部队 2020-08-31 17:57:41

8,701 1 4

SSTI Bypass 分析

护网杯过去不久，realworld到来之前先来研究研究SSTI的Bypass套路。SSTI Bypass首先来看一个护网杯的那道easypy，后台在输入{{config}}的时候出现回显，因…

 ChaMd5安全团队 2019-10-12 13:55:44

10,201 0 3

【2018年 网鼎杯CTF 第二场】红日安全-网鼎杯WriteUp（24日 更新：web详解）

本文转载自先知社区：https://xz.aliyun.com/t/2619 【先知首发】本次比赛主要由红日安全ctf小组奋力拼搏，才可以拿到第二场第四的成绩。感谢他们的付出，才可以让我们看…

 红日安全团队 2018-08-25 10:00:45

21,911 1 12

Web QCTF-WrtieUp-2018

前言玩了下QCTF的Web部分，非职业赛棍学到了不少的东西，Web部分同时感觉并不是很难，可能是因为同样是X-Man选拔赛的原因，Web，RE，Misc等考点比较全面，ORZ。写的时候赛题已经关闭，但…

 Rai4over 2018-07-19 11:45:48

13,151 0 23

从AWVS插件到伪代理扫描

0x00 前言AWVS作为非常强大的web漏洞扫描器，相信大家都不陌生。然而，AWVS必须运行在windows环境，对Linux用户来说，多了一层使用虚拟机的麻烦。鉴于此，我们对AWVS进行了一些简单…

 71SRC 2018-06-06 10:29:31

9,909 0 7

基于python的自动化代码审计

       本文通过介绍在python开发中经常出现的常规web漏洞，然后通过静态和动态两种方式对python代码进行自动化审计挖掘漏洞，并且展示自动化系统在…

 逢魔安全实验室 2018-02-11 17:00:53

20,800 0 17