La inyección de plantilla del lado del servidor, o SSTI, es una vulnerabilidad que ocurre cuando el input de un usuario se inyecta en el motor de plantilla de una aplicación. Esto puede llevar a un amplio rango de reiesgos de seguridad incluyendo ejecución de código, exposición de información, escalada de privilegios, DoS, etc. Las vulnerabilidades SSTI se encuentran comúnmente en aplicaciones web que usan motores de plantillas para generar contenido dinámico.
Objetivos
- Entender las funciones básicas de motores de plantilla y por qué son integrales en las aplicaciones modernas.
- Identificar las vulnerabilidades en las aplicaciones web que pueden llevar a SSTI.
- Ejecutar ataques en diferentes motores de plantillas como Smarty (PHP), Jinja2 (Python), y Jade (NodeJS).
- Aplica las mejores prácticas y estrategisa de mitigación para prevenir SSTI en aplicaciones.
Pre-requisitos
- Conocimiento de la estructura HTML y cómo se construyen las páginas.
- Conocimiento básico de scripting en JavaScript del lado del cliente.
- Familiaridad con conceptos de programación con lenguajes del lado del servidor como PHP, Python, JavaScript, etc.