题目来源：CISCN-2019 华东南-Web11

WriteUp

观察首页，在 footer 发现到是 PHP 的 smarty 模板引擎

随手在 X-Forwarded-For 写入一个 IP，可以看到 Current IP 显示了我们写入的 IP，于是可以判断他是通过 X-Forwarded-For 来获取 IP 的，猜测存在 SSTI 漏洞。