day23
python
知识点
- pyc 反编译
- web SSTI(java, python,php 等都有 SSTI)
- ssti 模板注入利用分析
1h32min 这集还挺长
开始
什么是 SSTI
模板和数据的匹配关系
模板控制页面样式,更换模板后数据不变
pyc 反编译
pyc 由.py 编译而来,可以实现跨平台,也可进行反编译,即将 pyc 反编译为.py
ctf 中考察较多,实际中获得 pyc 的可能性较小
SSTI
什么是 SSTI
web 应用中出现,web 中有模板
出错处理,页面接收并回显信息,可能造成注入
网站直接执行注入的代码,回显中可以看到回显的执行信息
如何判断
有回显即可
哪里有 SSTI
404 页面
苹果 CMS 是什么东西捏
"实战中搞模板注入很难实现"
黑盒搞 SSTI 比较难实现
如何判断建站语言
可以看中间件,在本节课中可在 fofa 中判断为 python 语言