DASCTF2024八月web-Truman

这是一个典型的SSTI注入漏洞（https://blog.csdn.net/qq_61955196/article/details/132237648 )

这里有一个工具：https://github.com/Marven11/FenJing

具体用法：

pip install fenjing
python -m fenjing webui
# python -m fenjing scan --url 'http://xxxx:xxx'

fenjing webui

打开它自己的ui界面

分析完就可以执行shell命令了：

cat flag

得到：

说实话，我还是第一次知道这个工具，长知识了。