PyJail python沙箱逃逸探究

python 特性

在 python 中，类均继承自object基类；

python 魔术方法

__init__：构造函数。这个在实例化类的时候就会用到，一般是接受类初始化的参数，并且进行一系列初始化操作。
__len__：返回对象的长度。
__str__：返回对象的字符串表示。对一个对象a使用str(a)时，会尝试调用a.__str__()。相似地，还有__int__魔术方法也用于类型转换，不过较少使用。
__getitem__：根据索引返回对象的某个元素。对一个对象a使用a[1]时，会尝试调用a.__getitem__(1)。
__add__、__sub__、__mul__、__div__、__mod__：算术运算，加减乘除模。如对一个对象a使用a+b时，会尝试调用a.__add__(b)。相应地，对于有些运算，对象需放在后面（第二个操作数）的，则需实现__radd__、__rsub__、__rmul__、__rdiv__、__rmod__，如椭圆曲线上的点的倍点运算G -> d * G，就可以通过实现__rmul__来实现。
__and__，__or__、__xor__：逻辑运算，和算术运算类似；
__eq__，__ne__、__lt__、__gt__、__le__、__ge__：比较运算，和算术运算类似；例如'贵州' > '广西'，就会转而调用'贵州'.__gt__('广西')；
__getattr__：对象是否含有某属性。如果我们对对象a所对应的类实现了该方法，那么在调用未实现的a.b时，就会转而调用a.__getattr__(b)。这也等价于用函数的方法调用：getattr(a, 'b')。有__getattr__，自然也有对应的__setattr__；
__subclasses__：返回当前类的所有子类。一般是用在object类中，在object.__subclasses__()中，我们可以找到os模块中的类，然后再找到os，并且执行os.system，实现 RCE。

python 魔术属性

__dict__：可以查看内部所有属性名和属性值组成的字典。
__doc__：类的帮助文档。默认类均有帮助文档。对于自定义的类，需要我们自己实现。
__class__：返回当前对象所属的类。如''.__class__会返回<class 'str'>。拿到类之后，就可以通过构造函数生成新的对象，如''.__class__(4396)，就等价于str(4396)，即'4396'；
__base__：返回当前类的基类。如str.__base__会返回<class 'object'>；

其他内置函数和变量

dir：查看对象的所有属性和方法。在我们没有思路的时候，可以通过该函数查看所有可以利用的方法；此外，在题目禁用引号以及小数点时，也可以先用拿到类所有可用方法，再索引到方法名，并且通过getattr来拿到目标方法。
chr、ord：字符与 ASCII 码转换函数，能帮我们绕过一些 WAF
globals：返回所有全局变量的函数；
locals：返回所有局部变量的函数；
__import__：载入模块的函数。例如import os等价于os = __import__('os')；
__name__：该变量指示当前运行环境位于哪个模块中。如我们 python 一般写的if __name__ == '__main__':，就是来判断是否是直接运行该脚本。如果是从另外的地方 import 的该脚本的话，那__name__就不为__main__，就不会执行之后的代码。更多参考这里；
__builtins__：包含当前运行环境中默认的所有函数与类。如上面所介绍的所有默认函数，如str、chr、ord、dict、dir等。在 pyjail 的沙箱中，往往__builtins__被置为None，因此我们不能利用上述的函数。所以一种思路就是我们可以先通过类的基类和子类拿到__builtins__，再__import__('os').system('sh')进行 RCE；
__file__：该变量指示当前运行代码所在路径。如open(__file__).read()就是读取当前运行的 python 文件代码。需要注意的是，该变量仅在运行代码文件时会产生，在运行交互式终端时不会有此变量；
_：该变量返回上一次运行的 python 语句结果。需要注意的是，该变量仅在运行交互式终端时会产生，在运行代码文件时不会有此变量。