BreizhCTF 2016 – Write-Up – PyJail 1, 2, 3

Nous avons répondu présent au BreizhCTF 2016 organisé par La Meito, @SaxX et @Kaluche. Nous nous sommes classés 2ème dans le CTF attaque-défense de l’après-midi préparé par diateam, et 2ème également dans le jeopardy de la nuit.

Nous vous proposons ci-dessous les Write-Up des épreuves PyJail 1, 2 et 3 qui ont été résolues par Sofiane Benmekki, actuellement consultant stagiaire.
Merci aux sponsors de cet événement que nous avons apprécié ! Et bravo aux organisateurs que vous pouvez retrouver en interview par NoLimitSecu.

PyJail 1

Chall: Pyjail1 | Points: 300 | Taux de réussite: 36%

Le titre de ce challenge nous donne un bonne piste pour le résoudre. Pour commencer, on cherche les fonctions autorisées.

En essayant quelques-unes d’entre elles, on découvre que seule la fonction dir est autorisée.

L’idée pour résoudre ce challenge est de trouver une méthode accessible qui pourrait permettre l’exécution de commandes systèmes ou de trouver un chemin vers la fonction « __import__ » de python afin de charger le module « os ».

En exécutant la commande suivante sur le serveur :

Le résultat est une liste de types et de classes accessibles depuis l’environnement restreint (python jail).

Nous avons une liste de classes et de types exploitables. Nous allons exploiter la classe « warnings.catch_warnings » car elle a un attribut « _module » qui pourrait nous permettre d’accéder aux fonctions accessible d’un module (et potentiellement à la fonction __import__ ).

cf : https://hg.python.org/cpython/file/2.7/Lib/warnings.py

Afin d’analyser le contenu de cet attribut, il faut créer une instance de cette classe qui sera stockée dans la variable « wclass »:

En appliquant la fonction dir à l’attribut « _module » :

Un attribut très intéressant apparait, c’est « __builtins__ ».

Le contenu de « __builtins__ » est un dictionnaire de fonctions « builtins » python contenant entre autres la fonction __import__.

Une fois cette fonction localisée, il ne reste plus qu’à importer le module « os » et exécuter des commandes système à l’aide de la fonction « os » de ce module pour obtenir le flag.

De même, on peut récupérer le code source du challenge (« cat python_vm1.py ») :

PyJail 2

Chall: Pyjail2 | Points: 200 | Taux de réussite: 14% |

Pour ce deuxième challenge de pyjail, on reste dans la même idée que le premier : sortir du « jail ». Par contre l’ensemble des entrées acceptées par le programme se trouve réduit (le double underscore n’est plus accepté par le programme comme entrée).

Ayant récupéré le code du premier challenge, on remarque qu’il existe une fonction « _ » qui prend en paramètre une chaine de caractères et qui exécute le code reçu.

L’idée est la suivante : nous allons exécuter les mêmes commandes qu’avant (pyjail1) sauf que cette fois-ci c’est la fonction « _ » qui se chargera de leur exécution. Comme cette fonction accepte une chaine de caractères en entrée,  l’opérateur de concaténation de deux chaines de caractères peut être exploité pour exécuter du code contenant un double underscore ( « __ »   <=>  « _ » + « _ »  ) et obtenir le flag :

De même, on peut récupérer le code source du challenge (« cat python_vm2.py ») :

PyJail 3

Chall: Pyjail3 | Points: 300 | Taux de réussite: 7% |

Ce challenge reste dans la même logique que les deux précédents (sortir du jail), sauf que cette fois-ci l’alphabet d’entrée du programme ne contient plus les caractères suivants :  » ‘ __ (double underscore)

L’approche utilisée pour le pyjail2 n’est pas applicable sur ce challenge car on n’a plus de moyen d’envoyer une chaine de caractères au programme. Reste l’approche du payjail1, mais celle ci nécessite des caractères non autorisés dans ce challenge.

En listant les outils que l’on a :

  • La fonction dir
  • La fonction _
  • La déclaration de variables de type autre que str (ex. : a = 2)

L’idée de construire une chaine de caractères qui sera notre payload pour récupérer le flag semble la plus pertinente, on sait que le payload permettant la récupération du « flag » est le suivant :

N’ayant pas de moyen direct pour instancier un objet de type str, l’utilisation la fonction dir nous permet d’instancier un objet de type str :

Comme le payload contient un nombre important de caractères non alphabétiques (  » ‘ ()[] = . ), la construction du payload à partir des chaines de caractères qu’on peut obtenir à l’aide des fonctions accessibles n’est plus envisageable, mais, si on encode le payload en base 16 (hexadécimal) l’alphabet sera réduit à 16 caractères.

Et la conversion de l’hexadécimal vers une chaine de caractères est possible car les deux méthodes « encode » et « decode » sont autorisées.

Il ne reste plus qu’à construire l’alphabet hexadécimal. Pour commencer, il faut construire le mot « hex » pour que les deux méthodes « encode » et « decode » puissent être utilisées.

Une fois cette opération possible on passe à l’étape suivante qui consiste en la création de l’alphabet hexadécimal :

Pour au final avoir le résultat suivant :

Une fois l’alphabet prêt, le payload peut être encodé en hexadécimal :

Sachant que les deux méthodes « encode » et « decode » retournent une chaine de caractères comme résultat, l’idée est d’envoyer ces deux lignes en hexadécimal au programme et que le programme les décode pour les envoyer à la fonction « _ » qui prend en paramètre une chaine de caractères. En utilisant le petit programme python ‘generator.py’, on transforme le code hexadécimal en plusieurs accès à la liste alphabet qui contient l’alphabet hexadécimal (ce qui permet de n’envoyer au programme que des caractères autorisés).

generator.py :

Initialisation de la variable wcalss :

Récupération du flag :

Code Python du challenge :