proto.lib

Server-Side Template Injection (SSTI)

Khi một chuỗi do người dùng cung cấp bị nối trực tiếp vào SOURCE của template (chứ không phải truyền vào như DATA), template engine sẽ coi nó là biểu thức cần đánh giá — kẻ tấn công thoát khỏi ngữ cảnh dữ liệu để đạt được thực thi biểu thức, và thường từ đó leo lên thực thi mã tuỳ ý.

SecurityNâng cao2026-08-25
Server-Side Template Injection (SSTI)

Tags

#ssti#template-injection#rce#input-validation#sandboxing#web-security

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

OS Command Injection: shell an toàn bằng argument array

Truyền một chuỗi cho shell nghĩa là shell sẽ diễn giải các ký tự đặc biệt trong đó; một dấu chấm phẩy hay backtick trong input người dùng biến thành lệnh thứ hai. Cách phòng đúng là thực thi binary trực tiếp bằng argument array (không qua shell), kèm allowlist cho phần chọn chương trình hoặc cờ.

#command-injection#shell-injection#argument-array#execve
SecurityTrung bình

ReDoS: Regular Expression như một vector Denial of Service

Một số mẫu regex (nested quantifiers, alternation mập mờ) khiến engine backtracking phải thử theo cấp số nhân khi gặp input gần khớp nhưng không khớp hoàn toàn; một request duy nhất với input được crafted cẩn thận có thể ghim một CPU core hàng phút, đặc biệt nguy hiểm khi regex đó nằm trên đường validate TRƯỚC khi xác thực người dùng.

#redos#catastrophic-backtracking#regex#denial-of-service
SecurityTrung bình

Malicious File Upload: validate nội dung thật, không phải tên hay claim

Một file upload đáng ngờ có thể mang nội dung không khớp với loại nó tự khai (đuôi file hoặc Content-Type do client gửi), nhằm được server thực thi, được trả về với content type nguy hiểm, hoặc khai thác lỗi trong một parser; phòng thủ đúng là kiểm tra nội dung thật, lưu ngoài web root với tên do server sinh, và phục vụ từ origin riêng với Content-Disposition ép tải xuống.

#file-upload#content-validation#magic-bytes#malware-scanning