目录【Spring】【Spring Framework系统框架4.x】【IoC】—— Inversion of Control 控制反转【Spring技术对IoC思想进行了实现】【DI】—— Dependency Injection 依赖注入【目标】—— 充分解耦【IoC使用】【DI使用】【bean】【基础配置】【别名配置】【作用范围配置】编辑【bean的三种实例化方式】【第一
前言：这几天刷题一直遇到考察SSTI模板注入的题，之前也没有好好了解过，如果叙述原理的话需要扎实的python基础，现在python还学的不是太好，就以遇到的CTF题做一个总结。
0x00:什么是模板引擎 模板引擎是为了使用户界面与业务数据（内容）分离而产生的，它可以生成特定格式的文档，用于网站的模板引擎就会生成一个标准的文档，就是将模板文件和数据通过
原创
2021-10-22 17:48:28
686阅读
#模板引擎 目的：用户界面与业务数据（内容）分离。 模板引擎根据获取到的用户数据，放到渲染函数生成前端html页面。 #SSTI 服务器端模板注入（Server-Side Template Injection） ##MVC 用户输入进入控制器Controller 根据请求类型和指令发送到相应业务模型 ...
转载
2021-09-28 13:00:00
356阅读
2评论
1. SSTI模板注入（Server-side template injection） a. 服务器模板注入是当攻击者能够用本地的模板语法去注入一个恶意的payload，然后再服务器端执行改模板的攻击手法。 b. 模板引擎使用过将固定模板与多边数据结合起来生成的html网页的一种技术，当用户直接输入数据到模板不做任何过滤额时，可能会发生服务端的模板注入攻击，这使得攻击者可以注入任何模板指令来
转载
2023-10-17 19:33:10
384阅读
0x01 前言 最近在刷题的过程中发现服务端模板注入的题目也比较常见，这类注入题目都比较类似，区别就在于不同的框架、不同的过滤规则可能需要的最终payload不一样，本文将以Flask为例学习模板注入的相关知识，也是对自己学习的一个记录。 0x02 Flask简介 Flask是一个Python编写的 ...
转载
2021-08-31 22:03:00
267阅读
2评论
何为SSTI模块注入？
SSTI即服务器端模板注入（Server-Side Template Injection），是一种注入漏洞。
服务端接收了用户的恶意输入以后，未经任何处理就将其作为Web应用模板内容的一部分，模板引擎在进行目标编译渲染的过程中，执行了用户插入的可以破坏模板的语句，因而可能导致了敏感信息泄露、代码执行、GetShell等问题。
常见的SSTI模块注入攻击有哪些
常见的S
原创
2023-12-13 16:14:41
586阅读
在今年的黑帽大会上 James Kettle 讲解了《Server-Side Template Injection: RCE for the modern webapp》，从服务端模板注入的形成到检测，再到验证和利用都进行了详细的介绍。本文在理解原文内容的基础上，结合更为具体的示例对服务端模板注入的原理和扫描检测方法做一个浅析。一、模板注入与常见Web注入就注入类型的漏洞来说，
靶机writeup1.漏洞原理SSTI 就是服务器端模板注入（Server-Side Template Injection）。模板引擎SSTI中的T就是指模板引擎。模板引擎：分离用户界面与业务数据，将模板文件和数据通过模板引擎生成一个HTML页面反馈给浏览器，呈现给用户。常见的模板引擎如下：MVC模式当前常用的web框架，例如Python的flask、PHP的tp和Java的sping等，
原创
2022-11-28 17:27:15
277阅读
+++++SSTI：在做题之前还是先补充下知识，了解下python flask框架以及ssti的原理flask在b站可以找到视频视频的话可以看这个星盟的了解sstihttps://www.bilibili.com/video/BV1zi4y1x7QM
原创
2022-12-20 14:23:47
334阅读
http://xmctf.top:8962/?name={{
原创
2022-12-28 18:53:00
1078阅读
本文分析了SSTI（服务端模板注入）漏洞的成因及利用方法，
作为Web框架，Django提供了模板，可以很便利的动态生成HTML模版系统致力于表达外观，而不是程序逻辑模板的设计实现了业务逻辑(view)与显示内容（template）的分离，一个视图可以使用任意一个模板，一个模板可以供多个视图使用模板包含 HTML的静态部分、动态插入内容部分Django模板语言，简写DTL，定义在django.template包中 创建简单的
转载
2024-01-27 23:42:40
133阅读
# CTF Java模板注入: SPEL模板注入入门指导
在CTF（Capture The Flag）比赛中，Java模板注入是一种常见的攻击方式，这里我们将重点讨论SPEL（Spring Expression Language）模板注入。对于刚入行的开发者，本篇文章将带你了解实现这一攻击的基本流程和示例代码。
## 流程概述
在进行SPEL模板注入时，我们需要遵循以下基本步骤。下面是这些步
## 实现模板注入 Java
### 概述
在Java开发中，模板注入是一种常见的技术，它允许我们在动态生成页面或文档时使用模板引擎来填充数据。本文将教会你如何实现模板注入Java。
### 流程图
```mermaid
journey
title 模板注入 Java
section 了解模板注入
section 学习使用模板引擎
section 实践模板注
原创
2023-12-30 10:53:13
120阅读
# Java 模板注入
在Java开发中，模板注入是一种常见的安全漏洞，它可以导致应用程序受到恶意攻击。本文将介绍什么是模板注入，如何防范模板注入攻击，并通过代码示例演示如何正确处理模板注入漏洞。
## 什么是模板注入
模板注入是一种攻击技术，攻击者通过向模板引擎传递恶意输入，从而执行任意代码或获取敏感信息。在Java开发中，常见的模板引擎包括FreeMarker、Thymeleaf等，攻击
原创
2024-05-29 07:01:44
100阅读
# Java模板注入初学者指南
Java模板注入是一种在模板中动态插入数据的技术，常用于Web开发。通过学习模板注入，你将能够更灵活地构建用户界面。本文旨在为刚入门的开发者提供一个完整的Java模板注入实现流程和代码示例。
## 实现流程
下面是实现Java模板注入的简单流程：
| 步骤 | 描述 | 代码示例
原创
2024-09-29 04:48:17
33阅读
