打开题目
点击flag给了我们一个ip
点击hint，查看源代码处告诉了我们要利用这个ip
bp抓包，并添加X-Forward-For头
所以这道题是XFF可控
本来联想到XFF漏洞引起的sql注入，但是我们无论输入什么都会正常回显，就联想到ssti注入
我们输入{{7*7}}
发现能够成功执行7*7的算式并返回计算结果为49
{config}来看看配置
我们看到smarty_internal_templatecompilerbase.php
可以看到用的是smarty，Smarty 是一个用于 PHP 的模板引擎
再看看用的版本号
{$smarty.version}
在知道smarty模版可以用php全部的函数和表达式以后，我们执行命令
{if system("ls /")}{/if} 或者直接{{system("ls /")}}
{if system("cat /flag")}{/if}或者直接 {{system("cat /flag")}}
得到flag
知识点：
- smary模版特性
Smarty 是一个用于 PHP 的模板引擎
输入{$smarty.version}，就可以看到返回的Smarty当前版本号
Smarty的{if}条件判断和PHP的if 非常相似，只是增加了一些特性。每个{if}必须有一个配对的{/if}. 也可以使用{else} 和 {elseif}. 全部的PHP条件表达式和函数都可以在if内使用，如*||*, or, &&, and, is_array(), 等等
如 {if phpinfo()}{/if}，可以执行phpinfo()
- XXF漏洞攻击
XFF，是X-Forwarded-for的缩写，属于SQL注入的一种，该注入原理是通过修改X-Forwarded-for头对带入系统的dns进行sql注入，达到欺骗服务器执行恶意的SQL命令的效果，从而可以得到网站的数据库内容。
X-Forwarded-for: 127.0.0.1' and 1=1# 页面正常
X-Forwarded-for: 127.0.0.1' and 1=2# 页面报错
说明存在sql注入漏洞
知识点链接：
Smarty SSTI-CSDN博客
XFF漏洞攻击原理及防御方案 - 知乎
