网络安全专业术语
OWASPvsSSTI
网络安全领域术语对比 — 快速理解两者的核心差异
OWASP
Open Web Application Security Project
OWASP · Web 安全的「圣经」
SSTI
Server-Side Template Injection
SSTI · 在模板里注入代码
概览对比
OWASP
OWASP 是 Web 应用安全领域最权威的非营利组织，其 OWASP Top 10 是全球公认的 Web 安全风险清单。几乎所有安全培训和合规要求都以 OWASP 为基准。
SSTI
SSTI 通过向服务端模板引擎（Jinja2、Twig 等）注入恶意表达式，可能实现远程代码执行。当用户输入被直接拼接到模板中时就会产生此漏洞。
核心要点
OWASP
- OWASP Top 10 是 Web 安全的行业标准
- 每 3-4 年更新一次，反映最新威胁趋势
- 提供免费的工具、指南和培训资源
SSTI
- 利用模板引擎执行恶意代码
- Jinja2、Twig、Freemarker 是常见目标
- 可从信息泄露升级到 RCE
正式定义
OWASP
致力于提升 Web 应用安全的全球性非营利开源社区和标准组织
SSTI
利用服务端模板引擎注入恶意表达式的代码注入攻击
应用场景
OWASP
- Web 应用安全评估的基准框架
- 安全开发培训的核心教材
- 合规审计的参考标准
SSTI
- Web 应用的模板注入检测
- 渗透测试中的 RCE 利用链
- 模板引擎的安全配置审计
详细解读
OWASP
OWASP 成立于 2001 年，通过开源项目和社区协作推动 Web 应用安全。其最知名的成果是 OWASP Top 10——每隔几年更新的十大 Web 安全风险清单。2021 版新增了 SSRF 和不安全设计等类别。OWASP 还维护了大量实用工具和指南：ZAP（免费的 Web 扫描器）、ASVS（应用安全验证标准）、Testing Guide 等。对于开发者来说，理解 OWASP Top 10 是安全编码的基础。
SSTI
SSTI 的检测方法是注入数学表达式（如 {{7*7}}），如果返回 49 则存在漏洞。不同模板引擎的利用方式不同，Jinja2 可通过 __class__.__mro__ 链访问 os 模块执行命令。防御方式：使用沙箱模式、避免将用户输入直接拼接到模板、使用逻辑无关的模板引擎。
快速对比
| 维度 | OWASP | SSTI |
|---|---|---|
| 类型 | 专业术语 | 专业术语 |
| 标签 | 应用安全、合规治理 | 攻击/渗透、应用安全 |
| 热度 | 85 | 60 |
共同关联术语
XSS