SSTI 服务端模板注入方法论

⛔ 深入参考（确认引擎后必读对应文件）

• Jinja2 完整利用链（上下文变量→文件读取→RCE）→ references/jinja2-exploitation.md
• Twig/Mako/FreeMarker/Pug/Django 利用或过滤绕过 → references/other-engines-and-bypass.md

Phase 0: 注入点定位（最先执行！）

不要盲目在所有参数上尝试 SSTI payload！ 先定位哪些参数会被模板渲染：

1. 用 analyze_response 观察哪些参数值出现在响应中
2. 只有回显到页面的参数才可能是注入点
3. 常见回显参数：name, username, message, greeting, template, title, q, search

陷阱：HTML 转义的回显（< → <）仍可能被模板渲染——{{7*7}} 可能生效。