官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。
内容介绍
本视频探讨的是服务器端模板注入漏洞(Server-Side Template Injections,SSTI)原理，视频以基于Python的Flask框架为例，通过其中类包含的OS模块获取到sys模块接口，从而包含进入相关Payload，实现针对服务端的系统级命令执行，服务器端模板注入漏洞广泛存在于各类WEB语言和框架中。视频仅为抛砖引玉，让大家理解明白漏洞原理和相关利用方法。
漏洞详细技术请参考:https://portswigger.net/research/server-side-template-injection