摘要：
web369 本题在上题基础上还过滤了request，os，使用 {% %} 流程语句、set 定义变量、attr() 调用属性、~字符串拼接 利用模板内置对象提取下划线 _，手动拼接出 xxx 类私有属性 通过字典键名拼接生成属性名字符串，绕过关键字过滤 借助全局内置对象 lipsum 拿到全局域 阅读全文
posted @ 2026-05-16 21:36
sunny-xin
阅读(9)
评论(0)
推荐(0)
摘要：
本题过滤了{{}} 使用{%printf%}进行绕过 //仅{% %}只能执行注入代码，加上printf可以进行打印结果 payload {%print( (lipsum|attr(request.values.a)).get(request.values.b).popen(request.valu 阅读全文
posted @ 2026-05-15 21:43
sunny-xin
阅读(10)
评论(0)
推荐(0)
摘要：
首先进行简单过滤测试在365题基础上增加了过滤_ 使用attr加request进行绕过 //attr（）获取对象属性 payload： ?name={{()|attr(request.values.class)|attr(request.values.base)|attr(request.value 阅读全文
posted @ 2026-05-15 20:30
sunny-xin
阅读(6)
评论(0)
推荐(0)
摘要：
注入前先进行简单的过滤测试，发现过滤了[],args，'',"" 所以使用（）绕过单引号过滤，使用request.values绕过单双引号过滤调用popen函数查询flag payload ?name={{().__class__.__base__.__subclasses__().__getite 阅读全文
posted @ 2026-05-15 20:11
sunny-xin
阅读(9)
评论(0)
推荐(0)
摘要：
首先测试过滤点，发现过滤了单双引号和args 可以使用values代替或则使用cookie进行绕过，本题不允许post传参 payload ?name={{().__class__.__base__.__subclasses__()[132].__init__.__globals__[request 阅读全文
posted @ 2026-05-14 18:48
sunny-xin
阅读(9)
评论(0)
推荐(0)
摘要：
进行子类查询发现被过滤，测试后发现是单双引号过滤 使用request绕过，使用request.args.key获取get传入的key值 payload ().__class__.__base__.__subclasses__()[132].__init__.__globals__[request.a 阅读全文
posted @ 2026-05-14 18:22
sunny-xin
阅读(15)
评论(0)
推荐(0)
摘要：
再次尝试{{7*7}}注入测试，得到49为ssti注入 寻找父类，在父类下寻找到os模块在133，但是查询__subclasses__()[132]发现被过滤 输入1可以正常回显，猜测为数字过滤，对2，3分别进行测试发现被过滤， 用length过滤器或者减法进行绕过 {% set num='aaaa 阅读全文
posted @ 2026-05-14 18:07
sunny-xin
阅读(8)
评论(0)
推荐(0)
摘要：
题目中提示名字是考点，所以在name后面进行ssti注入 首先传入{{7*7}}测试是否可以进行ssti注入，返回49说明可以 以此查询子类父类，再寻找父类下的函数模块，使用notepad把类分行找到os模块 调用os模块下的popen函数，执行命令得到flag payload： ?name={{' 阅读全文
posted @ 2026-05-14 17:26
sunny-xin
阅读(11)
评论(0)
推荐(0)
摘要：
界面为登陆界面尝试sql注入不成功，查看help文件没有显示，改用post方式成功下载help.doc但是里面没有提示和flag 通过报错信息得知靶场采用的是tomcat服务器 其中tomcat相关目录介绍： WEB-INF/ 目录是每个 Web 应用中必须存在的目录，包含一些配置信息，不会被直接暴 阅读全文
posted @ 2026-04-29 22:43
sunny-xin
阅读(10)
评论(0)
推荐(0)
摘要：
首先提交后会有数组回显，测试发现是单引号闭合，使用select后发现有过滤，过滤了.以及一部分函数，没办法使用字符注入和报错注入，使用堆叠注入 查询表名发现FlagHere,words两个表 查询第一个表下面列名，发现flag，直接查询无回显 查询words下面列名，想尝试改表名读出flag，但是r 阅读全文
posted @ 2026-04-29 22:19
sunny-xin
阅读(8)
评论(0)
推荐(0)
浙公网安备 33010602011771号