SSTI模板注入

阅读量：

我认为，在开始学习SSTI注入之前，最好是先熟悉Python的沙盒环境以避免潜在问题。此外，在这两个地方的应用模式相当相似。

Jinja2作为预装的模仿Django模板的一个模板引擎是由Flask的作者开发的。
查找语法知识有助于自己复习

复制代码

    {{ ... }}：装载一个变量，模板渲染的时候，会使用传进来的同名参数这个变量代表的值替换掉。
    {% ... %}：装载一个控制语句。
    {# ... #}：装载一个注释，模板渲染的时候会忽视这中间的值

在模板中添加变量，可以使用（set）语句。

复制代码

    {% set name='xx' %}

使用with语句定义一个局部作用域，并嵌入set语句以进行初始化操作；这样定义的变量仅限于within with代码块内。

复制代码

    {% with gg = 42 %}
    {{ gg }}
    {% endwith %}

复制代码

    {% if ken.sick %}
    Ken is sick.
    {% elif ken.dead %}
    You killed Ken! You bastard!!

全部评论 (0)

还没有任何评论哟~