ssti-testing

仓库创建 2026年7月26日最近提交 1 天前SkillHot 收录 10 小时前

▸ 精选理由

覆盖多种模板引擎的检测方法，便于快速判断严重性。

▸ 风险提示

含利用与检测方式，可能被滥用，限授权测试。

这个 Skill 做什么

检测服务端模板注入并评估是否能升级为远程代码执行。

帮你检测并证明用户输入是否在服务器端模板引擎里被当作代码执行（SSTI），并评估能否升级为远程代码执行（RCE）。常在表单、文件上传或动态渲染页面时用到，能找出漏洞触发条件并识别是哪种模板引擎。还会给出安全的渲染规范和缓解措施，教你如何把不可信输入变成只能展示的数据。

▸ 展开 SKILL.md 英文原文

Use when user input reaches a server-side template engine — testing for template injection that can escalate to remote code execution, and how to render untrusted data safely.

开发编程模板注入SSTIRCE通用

Stars

Forks

仓库内 Skill

积累中

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/03-web-application-security/09-ssti-testing/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/03-web-application-security/09-ssti-testing/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

## Purpose

Server-Side Template Injection happens when user input is embedded into a template that the server then evaluates — so the input isn't just displayed, it's executed by the template engine. Depending on the engine, that ranges from information disclosure to full remote code execution. This skill covers detecting SSTI, identifying the engine, and the rendering discipline that prevents it.

## When to use it

Wherever user input might be concatenated into a template rather than passed as data: customisable emails, templated pages, "personalised" messages, error pages that echo input, anything where the app builds output with a template engine (Jinja2, Twig, Freemarker, Velocity, ERB

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有