蓝易云CDN：模板注入（SSTI、CSTI）揭秘：看懂这篇就够了

在Web应用开发中，模板引擎承担着动态页面渲染的重要工作。但如果程序错误地将用户输入作为模板代码解析，就可能产生模板注入漏洞。

模板注入主要分为两类：SSTI（服务端模板注入）和CSTI（客户端模板注入）。两者的共同点是不可信数据被解释为模板指令，但执行位置、利用方式和安全影响存在明显区别。

一、什么是SSTI服务端模板注入？

SSTI（Server-Side Template Injection）是指用户可控数据进入服务端模板解析流程，并被当作模板表达式执行。

常见服务端模板引擎包括：

• Python：Jinja2、Mako
• PHP：Twig、Smarty、Blade
• Java：FreeMarker、Velocity、Thymeleaf

正常情况下，模板负责页面结构，用户输入只作为变量传入。

例如，Python Flask应用存在以下代码：

render_template_string("Hello " + name)

如果name完全由用户控制，攻击者就可能通过构造模板表达式影响渲染过程。

🔍 测试输入：

{{7*7}}

如果服务器将其解析为49，说明输入可能进入了模板求值流程，需要进一步结合源码确认。

SSTI的潜在危害包括敏感信息泄露、访问内部对象，以及在特定条件下实现远程代码执行（RCE）。

需要注意，表达式求值成功并不代表一定能够执行系统命令。

二、什么是CSTI客户端模板注入？

CSTI（Client-Side Template Injection）是指不可信内容在浏览器端被模板引擎解释执行。

常见相关技术包括AngularJS、Vue等具有模板表达式功能的前端框架。

例如，Vue应用如果直接将用户输入拼接成组件模板：

template: '<div>' + userInput + '</div>'

就可能导致用户提交的内容被编译为模板代码。

在允许动态模板编译的场景中，攻击者可能利用表达式执行能力影响页面逻辑，严重时形成跨站脚本攻击（XSS）。

⚠️ 但必须区分：Vue、Angular等现代框架正常的数据绑定并不等于存在CSTI。问题通常出现在不可信输入被重新当作模板编译，或者开发者绕过框架默认安全机制时。

三、SSTI与CSTI有什么区别？

需要特别说明，采用服务端渲染（SSR）的前端框架还可能涉及服务端执行风险，不能仅凭框架名称判断漏洞类型。

四、如何检测模板注入漏洞？

🔍 建议在授权环境中开展以下检查。

第一步：寻找可控输入位置

重点检查URL参数、POST数据、用户昵称、动态邮件、CMS页面及自定义模板功能。

第二步：使用无害表达式验证

根据模板引擎语法，尝试：

{{7*7}}

${7*7}

观察是否产生异常计算结果，并排除正常业务逻辑造成的相同输出。

第三步：确认执行环境

结合源码、浏览器开发者工具、网络响应及日志，判断表达式是在服务器端还是浏览器端计算。

第四步：分析影响范围

重点检查模板可访问的变量、函数、对象以及执行权限。

检测过程中不能单凭特殊字符是否被过滤，就判断系统是否安全。

五、SSTI与CSTI应该如何防御？

🛡️ 1. 严格分离模板和用户数据

模板必须来自可信来源，用户输入只能作为普通变量传递，避免字符串拼接后重新编译。

2. 禁止执行不可信模板

尽量避免将外部输入直接交给模板编译接口。如果业务必须支持自定义模板，应采用受限语言、允许列表及独立沙箱。

3. 正确使用前端安全机制

Vue使用正常文本插值，Angular使用可信模板和安全数据绑定。避免动态编译用户提交的模板内容。

4. 控制运行权限

服务端使用低权限账户，限制文件系统访问及不必要的网络连接；客户端结合内容安全策略（CSP）等机制降低风险。

5. 定期更新组件

及时检查模板引擎与前端框架的安全公告，修复已知漏洞，并对自定义扩展进行代码审计。

六、蓝易云高防CDN如何辅助防护？

蓝易云高防CDN可结合WAF规则、请求参数检测和安全日志分析，为Web应用增加额外防护层。

建议重点实施：

• 🔐 精准检测： 结合请求路径、参数位置和模板表达式特征识别异常输入。
• 📊 行为分析： 关注重复探测、异常请求频率及可疑访问来源。
• 🛡️ 分级防护： 高置信度攻击实施拦截，存在误报风险的规则先观察测试。
• 🔍 持续审计： 结合源站日志排查模板渲染异常及潜在利用行为。

不建议简单封禁所有{{ }}、${ }字符，因为这些语法也可能出现在正常业务数据中。

同时，WAF主要负责HTTP流量检测，无法替代服务器代码修复，也不能完全覆盖已经进入浏览器的DOM操作和客户端模板执行问题。

七、总结

SSTI与CSTI虽然执行位置不同，但根本原因相同：不可信数据跨越安全边界，被当作模板代码解释执行。

企业应从开发阶段建立模板与数据隔离机制，严格限制动态编译能力，并结合组件更新、代码审计及WAF防护形成多层安全体系。

蓝易云高防CDN通过请求特征检测与安全策略管理，为网站提供辅助防护能力，帮助企业降低模板注入风险，保障业务系统稳定运行。