在使用可信模板时，是否存在针对Smarty模板引擎的攻击向量？

Question

这实际上是一个关于模板引擎的一般性问题。

如果我使用聪明-PHP生成一个网站，并且模板和内容都是由我创建的(假设为非恶意的)，这会对我的站点造成任何攻击向量吗？

我的网站是静态的，除了一个灯箱插件，没有形式，登录或其他(有意)用户输入机制。

我的理论是，由于没有解析用户输入，攻击者无法以任何方式与模板引擎交互，因此没有攻击面。

这是真的吗？我知道Apache本身可能容易受到恶意查询的攻击，但我在这里专门讨论的是模板引擎。比如，它是否比普通的html网页更不安全(对于我的用例)？

Answer 1

因此，假设：

• 您的页面不接收任何类型的用户输入，模板既不使用请求参数，也不使用标题。
• 您的模板正在由服务器的文件系统上的内容填充
• 内容由SFTP提供。
• 在这个问题中，您不关心模板引擎本身之外的攻击向量(因为还有其他攻击向量，例如通过SFTP或与恶意用户共享文件系统)。

如果模板引擎导致html，那么答案是否定的，您的设置并不比普通的html页面安全。

Answer 2

引擎本身不暴露于最终用户输入，因此您对此没有问题，但其他部分可能是，如管理面板、文件上传脚本、配置文件和凭据、安装脚本、更新脚本，以及您可能拥有的任何其他脚本/CMS。