Постигане на изпълнение на код чрез контрол на текста на коментара в Python скрипт

Един от участниците на състезанието UIUCTF 2025 подробно обясни как е успял да изпълни задача, изискваща изпълнението на неговия код на сървъра, имайки само възможност за промяна на съдържанието на текста в коментарите на кода.

Участниците можеха да изпратят мрежова заявка към Python скрипт, който създаваше нов Python скрипт с произволно име, добавяше предоставените от потребителя данни в текстовия коментар, премахвайки символите "\n" и "\r", и стартираше този скрипт с командата "python3 име.py". Контролирайки само съдържанието на коментара, участникът трябваше да извлече низ от файла "\/home\/ctfuser\/flag". Скриптът се създаваше с помощта на следния код: comment = input("> ").replace("\n", "").replace("\r", "") code = f"""print("hello world!") # Това е коментар. Ето още един: # {comment} print("Thanks for playing!")"""

Вместо "{comment}" се заместваха данните, предоставени от участника, и в крайна сметка се изпълняваше следният код: print("hello world!") # Това е коментар. Ето още един: # Данните, предоставени от участника в състезанието print("Thanks for playing!")

Заданието беше формулирано вдъхновено от уязвимост в парсера CPython, който обработваше символа с нулев код като край на реда (уязвимост, която можеше да се използва например за скриване на зловредни действия в текста на коментара). Проблемът беше отстранен в разпространенията на CPython 3.12.0 и 3.11.4. В прилагания в конкурса обработвач се премахваха само символите "\n" и "\r", но при използване на уязвимата версия на CPython участникът можеше да използва символа "\0" като разделител. Въпреки това, този трик не сработи, тъй като в конкурса се използваше вече фиксирана версия на CPython, предвид, че в парсера могат да останат още подобни грешки, които участниците да открият.

Успешно справилият се с задачата участник не търсеше нови уязвимости в парсера, които да позволят разделянето на низ на части, а се възползва от особеностите при изпълнението на файлове в Python в зависимост от съдържанието им. Например, вместо изходния код, в файл с разширение ".py" може да бъде поставен кеширан байткод, запазван в файлове с разширение ".pyc", и подобен файл ще бъде изпълнен. В разглежданото състезание участникът можеше да контролира само съдържанието в средата на файла, поради което не можеше да добави свой заглавен ред за изкривяване на MIME типа.

Задачата беше решена, използвайки факта, че Python от версия 2.6 насам може да изпълнява съдържанието на ZIP архиви за доставка на Python пакети в компресиран вид. Както при кеширането на байткод, наличието на zip архив се определя по съдържанието, а не по разширението на файла, т.е. в "файл.py" може да бъде поставен zip архив и при стартиране с командата "python файл.py" той ще бъде обработен като компресиран Python пакет. В същото време ZIP архивите в Python не се индексират по заглавието в началото на файла, а по секцията EOCD (End of Central Directory Record) в края на файла. При наличие на файл "__main__.py" в архива, този файл се стартира автоматично при директно стартиране на архива с командата "python архив".

Конкурсната задача беше решена чрез генериране на подобен ZIP архив и вмъкването му в текста на коментара. За запазване на коректността на структурата на файла, имайки предвид наличието на края на оригиналния файл с извикването ‘print(«Thanks for playing!»)’, беше използвана наличието на полето за коментар в секцията EOCD, разположена в самия край.

Източник: opennet.ru