Koodi täitmine kommentaariteksti kontrollimise kaudu Python skriptis

Üks UIUCTF 2025 võistluse osalejatest selgitas põhjalikult, kuidas tal õnnestus täita ülesanne, milleks oli koodi käivitamine serveris, muutes vaid koodikommentaari teksti sisu.

Osalejad said saata võrgu päringu Python skriptile, mis lõi uue Python skripti juhusliku nimega, lisas kasutaja sisendandmed kommentaariteksti, lõigates välja sümbolid "\n" ja "\r", ning käivitas selle skripti käsuga "python3 nimi.py". Kontrollides ainult kommentaaride sisu, pidi osaleja tõmbama stringi failist "/home/ctfuser/flag". Skript loodi järgmise koodiga: comment = input("> ").replace("\n", "").replace("\r", "") code = f"""print("hello world!") # See on kommentaar. Siin on veel üks: # {comment} print("Thanks for playing!")"""

Kohale asetati osalejast saadud andmed "{comment}", mille tulemusena käivitati järgmine kood: print("hello world!") # See on kommentaar. Siin on veel üks: # Osalejast saadud andmed print("Thanks for playing!")

Ülesanne oli kujundatud CPython parseris esineva haavatavuse põhjal, mille tõttu tõlgendati nullkoodi sümbolit kui rea lõppu (haavatavust sai näiteks kasutada pahatahtlike toimingute varjamiseks kommentaaritekstis). Probleem lahendati CPython versioonides 3.12.0 ja 3.11.4. Võistlusel kasutatavas töötlejas lõigati välja vaid sümbolid "\n" ja "\r", kuid haavatava versiooni CPython kasutamisel sai osaleja kasutada sümbolit "\0" eraldajana. Siiski see trikk ei õnnestunud, kuna võistlusel kasutati juba parandatud versiooni CPython, arvestades, et parseris võivad veel olla sarnased vead, ja osalejad saavad need tuvastada.

Edukalt ülesandega hakkama saanud osaleja ei hakanud otsima uusi haavatavusi parseris, mis võimaldaksid stringi osadeks lõhestada, vaid kasutas Pythonis failide täitmise eripära sõltuvalt nende sisust. Näiteks võis failiga, millel on laiend '.py', asendada salvestatud baitkood, mis on salvestatud failides laiendiga '.pyc', ja sarnane fail täidetakse. Antud konkursil suutis osaleja kontrollida ainult faili sisu keskel, seega ei saanud ta lisada oma pealkirja MIME-tüübi moonutamiseks.

Probleemi õnnestus lahendada, kasutades ära seda, et Python alates versioonist 2.6 suudab täita ZIP-arkhivide sisu Python-pakettide edastamiseks kokku pakitud kujul. Nagu baitkoodi vahemälu puhul määratakse zip-arkhivi olemasolu sisu, mitte faili laiendi järgi, st 'fail.py' saab sisaldada zip-arkhivi ja kui seda käivitada käsuga 'python fail.py', töödeldakse seda kokku pakitud Python-paketina. Samal ajal ei indekseerita Pythonis ZIP-arkhiveid faili alguses oleva pealkirja järgi, vaid faili lõpus oleva EOCD-sektsiooni (End of Central Directory Record) järgi. Kui arkhiv sisaldab faili '__main__.py', käivitatakse see automaatselt, kui arkhivi käivitada käsuga 'python arkhiv'.

Konkursiülesanne lahendati sarnase ZIP-arkhivi generaatoriga, mille sisestamine toimus kommentaariteksti. Faili struktuuri korrektse säilitamise nimel, arvestades lähtefaili lõpus olevat käsku 'print("Thanks for playing!")', kasutati EOCD-sektsiooni kommentaarivälja olemasolu, mis asub faili lõpus.

Allikas: opennet.ru