Python对象模型解析:攻击链与利用基础

在Python的世界里，整数、字符串、函数，乃至“ 类 ”本身，都是对象。

每个对象都内置了一个属性：_class_

这意味着，从一个简单的实例（比如一个员工对象emp）出发，我们就能通过emp._class_回溯到它的类（Employee），甚至可以继续向上通过 _base_或 _bases_ 追溯到其父类，从而触及整个继承体系。

在访问 emp.company 时，其属性查找机制遵循以下顺序：

在上述链条中，类属性处于一个共享的、全局的位置。因此，修改一个类属性（例如 Employee.company =“New Corp”），会立即影响所有没有定义同名实例属性的该类的实例。

这是Python面向对象设计中一个基础且强大的特性，它既方便了共享状态的维护，也要求在修改时需谨慎评估其影响范围。

类污染攻击依赖于一系列特殊属性，它们是攻击链中的关键跳板：

1. 起点：攻击者控制或能够访问某个Python对象实例。

2. 定位类：通过实例_class_找到其所属的类。

3. 遍历继承树：通过_bases_向上或_subclasses_()向下遍历，寻找包含有用（或危险）子类的类。

4. 跳向函数空间：在找到的目标子类中，通过目标子类._init_访问到这个函数对象。

5. 夺取控制权：通过目标子类._init_._globals_获取该函数所在模块的全局命名空间字典。攻击者可在此字典中修改或插入键值，例如覆盖 _builtins_ 或植入恶意函数，最终实现任意代码执行（RCE）。

这个过程，本质上是对Python对象模型和属性解析机制的一种滥用。攻击者不需要直接调用危险函数，而是通过合法的属性访问链，“借道”抵达最终目标。

这是一种区别于传统漏洞的新型攻击手法。攻击者无需直接调用危险函数，而是利用 Python 合法的属性访问链，沿着对象关系网“借道”抵达目标。这种对语言原生特性的滥用，使其具有极强的隐蔽性和绕过能力。

Python 的属性查找遵循“实例 → 类 → 父类链（MRO）”的路径，且类属性为所有实例共享。这一设计在提供便利的同时，也将类属性变成了攻击者的“公共内存区”。一旦获得对象控制权，攻击者即可通过 _class_  回溯类定义，或通过_bases_ 横向遍历继承树，寻找高危跳板。

攻击通常始于对一个普通对象实例的操控：首先通过 _class_定位其类，再利用_subclasses_() 或_bases_ 遍历继承体系；随后以类中的函数对象（如 _init_ ）为支点，最终通过函数对象的 _globals_属性夺取模块的全局命名空间。

至此，覆盖  _builtins_ 或植入恶意函数，实现任意代码执行（RCE）便水到渠成。