别让黑客在您服务器上“蹦迪”！
哎呦喂，各位看官，您可算点进来了！是不是最近也被那些花里胡哨的“模板注入”漏洞搞到头秃？尤其是当您发现，自己辛辛苦苦写的代码，居然被人家当成“提款机”和“后花园”，那种感觉，简直比吃了苍蝇还难受,对吧？
别急，今天咱不聊虚的，就扒一扒那些真正硬核的模板注入检测方法，我保证，看完这篇您能少踩几个坑，甚至能在下次等保测评或者红蓝对抗的时候，拍着胸脯跟老板说：“这活儿，我拿捏了！”（咱得低调，低调……）
咱得明白一个理儿——模板注入（SSTI） 这玩意儿，它不是个“猛张飞”，它更像是个“笑面虎”，它藏在你用的那些模板引擎里（比如Jinja2、Twig、Freemarker啥的），你一不小心把用户的输入直接拼进模板里，好家伙，那人家可就不客气了，直接能让您的服务器像过年放鞭炮一样,噼里啪啦往外吐数据。
那怎么检测呢？网上那些基础payload（比如{{7*7}}）早就被WAF拦成筛子了，根本不够看，咱要玩就玩点硬核的,让漏洞无处遁形！
第一步：别光看“7”，要学会“数学课代表”式的探测
您是不是还在用{{7*7}}或者${7*7}去试？拜托，那都是八百年前的老黄历了，真正的硬核检测，是像做奥数题一样,层层递进。
我会先用一个稍微“变形”的表达式，比如{{7*'7'}}，您知道为什么吗？因为如果后端是Jinja2，它会返回7777777（字符串乘法），如果报错，那说明它压根没解析，或者是个死板的语言，这时候，您心里就得有数了——“有戏，但得再探”。
我会用“表达式优先级”这个照妖镜！比如{{2//2}}和{{2/2}}，有的模板引擎对整除和浮点除法有严格区分，返回结果不一样，甚至报错，这就能帮我们判断出是哪一种模板引擎，这好比您去别人家敲门，先听脚步声就知道是男主人还是女主人，对吧？这算不算硬核？
第二步：要“报错”，更要“优雅地报错”——这才是硬核精髓
哎，很多新手最怕看到报错页面，觉得是失败了，我反而最爱看报错！硬核的模板注入检测方法，就是要“故意”触发一个有区分度的错误！
我会尝试输入{{config}}或者{{self.__dict__}}这类“敏感词”，如果WAF拦了，那说明有防护，咱换个姿势——用URL编码，用|attr过滤器，甚至用\x5f这种十六进制绕过（嘘……这是咱的秘密武器）。
最关键的是，！如果错误信息里出现了类似 <class 'jinja2.runtime.Undefined'> 或者 freemarker.template.TemplateException 这种字样，恭喜您，中奖了！这比买彩票精准多了！因为这不仅仅是证明了漏洞，更直接锁定了框架版本，有了版本，您说，下一步干啥？那还不是手到擒来？这招，是不是比那些只会叫 {{7*7}} 的脚本小子硬核一万倍？
第三步：盲打怎么破？用“时间”这把尺子量一量！
有的环境特别变态，啥也不回显，就是一片死寂，这时候，千万别慌！咱还有时间盲注这个杀手锏！
硬核的检测方法是，我会尝试{{'x'.__class__.__mro__[1].__subclasses__()}}这种会报错或者超时的语句，但不是为了让它报错，而是为了让它卡住。
我会构造一个需要大量计算的表达式，比如一个嵌套的循环或者递归，如果响应时间从50毫秒变成了5秒，嘿嘿，那说明您的指令被执行了！这就像您对着山里喊一声，听到了回声，就知道对面有山壁一样，这种“硬核时间差”检测法，在那些最严苛的云WAF环境里,简直就是救命稻草！
第四步：利用“检测链”思维，别东一榔头西一棒子
也是最重要的，硬核的检测方法不是孤立的，是一条“链”！
我的常规操作是：
- 初探：用
{{7*7}}和${7*7}双管齐下，看哪个有反应（这是开胃菜）。 - 指纹识别：用上面说的除法、字符串乘法、或者调用一个不存在的属性，观察报错关键词（这是定向爆破）。
- 深度验证：尝试读取环境变量，比如用
{{config.__class__.__init__.__globals__['os'].environ}}（这步很危险，但检测它就是看能否读取到PATH或HOME这种通用变量，不需要真正偷数据，点到即止，咱是好人，只做验证）。 - 收尾：如果以上都通不过，最后再用时间延迟来判断是否存在表达式解析。
您看，这一套组合拳下来，硬核模板注入检测方法的核心思想就很明确了——不是“我能不能攻击成功”，而是“我能不能确定您这有没有洞”，搞清楚了这一点，您去修补漏洞或者写报告，那都叫“有理有据”，这叫啥？这叫专业！
行了，唠了这么多，嗓子都冒烟了，最后送您一句话：“安全无小事，检测要硬核”，别老想着用那些公开的POC一把梭，咱得学会“庖丁解牛”，摸透原理，才能在这互联网的江湖里，游刃有余地“排雷”。
希望这篇掏心窝子的话，能给您带来点启发，如果您在实际测试中遇到什么奇葩的模板引擎，欢迎来留言区吵（讨）论（论），咱下期再见！拜了个拜！