* 起点：用户输入进入命令拼接或模板渲染，服务端未隔离代码与数据 * 关键步：命令拼接注入、服务端模板注入（SSTI）直接落到执行 * 终点：服务端命令 / 代码执行（RCE） * 最终定级：严重（RCE）。仅报错回显、未拿到执行结果不定级 ### 一、业务背景 与 E-03"上传 + 包含成链" 不同，本链是单点代码执行类漏洞直接成 RCE。一类是用户输入被拼进系统命令执行，另一类是输入进入模板引擎被当作表达式求值。二者的共同根因是数据与代码未隔离，攻击者输入的内容被服务端当作可执行逻辑解释。 ### 二、系统拓扑 * Web 应用：接收用户输入，调用命令或渲染模板。 * 命令执行层：应用经进程创建接口调用系统命令。 * 模板引擎：把输入当作模板表达式求值。 * 服务账号：执行发生在该身份下。 * 信任边界：用户输入本应是数据，被解释成代码即越界。 ### 三、角色与账号 * 普通访客：输入进入执行层的载体。 * 服务账号：命令与模板代码的执行身份。 ### 四、攻击起点 找到把用户输入拼进命令或模板的功能点，先以无害输入观察回显与报错。 发