Marven11/Fenjing
این ابزار یک اسکریپت خودکار برای دور زدن سیستم‌های تشخیص نفوذ (WAF) در حملات SSTI مبتنی بر Jinja2 است، که به‌طور خاص برای استفاده در چالش‌های CTF طراحی شده. ️
کاربرد:
این ابزار به شما کمک می‌کنه تا پیلودهای Jinja2 SSTI رو به صورت هوشمند و خودکار تولید کنید، بدون اینکه توسط فیلترهای امنیتی (مثل WAF) شناسایی بشید.
در چه شرایطی بهتره استفاده شود؟
وقتی تو یک چالش CTF با یک آسیب‌پذیری Server-Side Template Injection در Jinja2 مواجه هستید و WAF مانع اجرای پیلودهای ساده میشه، این ابزار می‌تونه راه‌حل قدرتمندی باشه.
چند مثال از موارد استفاده:
- دور زدن فیلترهای کلمه‌ای مثل __import__ یا os در محیط‌های محدود
- اجرای کد پایتون در سرور بدون دسترسی مستقیم به shell
- استخراج اطلاعات حساس از متغیرهای محیطی یا فایل‌های سیستمی
- تست آسیب‌پذیری‌های قالب‌های Jinja2 در برنامه‌های تحت وب
- ##SSTI
- ##Jinja2
- ##CTF
- ##WAFBypass
- ##WebSecurity
- ##PythonExploit
- ##Pentesting
- ##BugBounty
- ##RedTeam
- ##SecurityResearch