从沙盒逃逸看Python黑科技（下篇）
前言
本周发的有点晚了，本来周三发的，有点生病，就拖到现在了，希望大家见谅。接着上一篇的内容，讲解一下Python中的黑科技。如果大家想回顾上文，可以点下面的链接：
从沙盒逃逸看Python黑科技（上篇）
一.回顾
理理思路
在上一篇文章中，我总结了Python沙箱逃逸这道CTF题涉及的主要知识点 ，其中上篇讲解了其中两个，本篇继续。
Python 如何导包Python 如何执行代码和命令- Python 文件读取
- 内置模块
- 对象创建与引用
二.Python 文件读取
实践出真知
本节主要介绍Python文件读取，为什么要介绍这个呢？主要是因为沙箱是黑盒的，如果我们能读取当前正在运行脚本的内容，对我们的帮助会非常大。上文介绍的单文件沙箱，我们可以通过读取__file__来获取内容，查看对应的过滤规则。
初级
对于python文件读取，大家比较熟悉的是open 或者file 函数:
(1) open (py2,py3)
open(__file__).read()(2) file (py2)
file(__file__).read()这些常见的函数，在沙箱中一般会被禁用掉，我们需要挖掘更多文件的读取的方式
高级
(1) codecs 模块 (py2,py3)
import codecscodecs.open(__file__).read()(2) types 模块 (py2)
import typestypes.FileType(__file__,"r").read()(3) os.open (py2,py3)
import osfd = os.open(__file__, os.O_RDONLY)print(os.read(fd,1024))(4) file:/// 伪协议
py3:
py2:
(5) fileinput 模块
(5) ctypes 模块
三.内置模块
如果沙箱不让我们导入外部模块，或者是要导入的模块被禁用，那我们只能求助于Python的内部模块__builtins__( 即Python 本身默认已经导入模块中的函数)。
dir内置函数可以列出一个模块/类/对象下面所有的属性和函数，查看一下__builtins__中的函数：
>> dir(__builtins__)[['ArithmeticError', 'AssertionError', 'AttributeError', 'BaseException', 'BlockingIOError', 'BrokenPipeError', 'BufferError', 'BytesWarning', 'ChildProcessError', 'ConnectionAbortedError', 'ConnectionError', 'ConnectionRefusedError', 'ConnectionResetError', 'DeprecationWarning', 'EOFError',
, ....]为什么dir可以查看__builtins__ 函数呢？本质上是每个模块/类/对象/ 有一个__dict__ 字段，通过遍历 __dict__ 得到里面包含的属性和函数。
例如，我们可以引用__import__ 来导入os，并执行命令：
当导入的函数，模块都变成字符串模式时，所有的静态检测手段都会失效，因为我们可以通过各种编码手段进行混淆。
由于内置模块中的危险函数过多，比如eval,exec等，导致上文使用的沙箱对__builtins__进行了处理，通过 del 关键字将里面的所有函数引用都删除了。
del __builtins__.__dict__['xxx']如果保留reload内置函数，我们还可以通过 reload( __builtins__) 恢复，但是现在通过__builtins__来进行逃逸已经不现实了。
对象创建与引用
在上一节中，不知道大家有没有注意到 我说的一句话：
上文沙箱将__builtins__中的所有函数引用都删除
删除的是只是函数引用，而不是函数本身，如果你们熟悉C语言的话，函数引用可以理解为函数指针，既然__builtins__中的引用没了，那我们就需要从其他地方找到敏感函数的引用，从而实现逃逸。
在Python中一切皆是对象，比如常见的 "",[],(),{} ,我们可以使用type函数查看他们的类型：
>>> type("")<type 'str'>>>> type([])<type 'list'>>>> type(())<type 'tuple'>>>> type({})<type 'dict'>>>> type(1)<type 'int'>>>> type(1.1)<type 'float'>我们可以通过这些Python 内置类型的继承链来寻找更多的引用，以下字段是寻找继承链的关键：
- __class__ :返回一个实例所属的类
- __bases__ :返回一个类直接所继承的类（元组形式）
- __mro__ :列出解析方法的调用顺序
- __subclasses__()：返回子类列表
- __dict__ ：列出当前属性/函数的字典
- func_globals：返回一个包含函数全局变量的字典引用 （python2）
- __globals__:返回一个当前空间下能使用的模块，方法和变量的字典 （python2,python3）
其中 __bases__ 和__mro__ 类似的，用来寻找父类，__subclasses__()用来寻找子类。示例如下：
>>> [].__class__.__bases__(<type 'object'>,)>>> [].__class__.__mro__(<type 'list'>, <type 'object'>)>>> [].__class__.__mro__[-1].__subclasses__()[<<type 'type'>, <type 'weakref'>, <type 'weakcallableproxy'>, <type 'weakproxy'>, <type 'int'>, <type 'basestring'>, <type 'bytearray'>, <type 'list'>, <type 'NoneType'>, <type 'NotImplementedType'>, <type 'traceback'>, <type 'super'>, <type 'xrange'>,假如我们想在Python3中调用os模块中system方法，而不用 import os ，就可以采用这种方式：
但是大家可能会发现，这么多的类哪些 符合要求呢？给大家一个小脚本，遍历出os模块的引用：
结果如下：
(72, <class 'site._Printer'>, 'os', <module 'os' from 'D:\anaconda2\lib\os.pyc'>, <module 'os' from 'D:\anaconda2\lib\os.pyc'>)
(77, <class 'site.Quitter'>, 'os', <module 'os' from 'D:\anaconda2\lib\os.pyc'>, <module 'os' from 'D:\anaconda2\lib\os.pyc'>)
(98, <class 'socket._socketobject'>, 'os', <module 'os' from 'D:\anaconda2\lib\os.pyc'>, <module 'os' from 'D:\anaconda2\lib\os.pyc'>)
(99, <class 'socket._fileobject'>, 'os', <module 'os' from 'D:\anaconda2\lib\os.pyc'>, <module 'os' from 'D:\anaconda2\lib\os.pyc'>)如果想寻找其他模块，例如 sys,__builtins__, 都可以往代码中列表中添加。
还有一种是利用builtin_function_or_method 的 __call__，找到对应的序号：
使用exec执行:
[].__class__.__mro__[-1].__subclasses__()[34].__call__(exec, 'import os;os.system("whoami")')
[].__getattribute__('append').__class__.__call__(exec, 'import os;os.system("whoami")')最后
下篇敬请期待，代码的排版还得优化一下，有点乱，只能截图代替了。
