wgpsec/python-prototype-pollution

Python 原型链污染方法论

Python 原型链污染（又称 Class Pollution / Attribute Injection）利用 Python 类继承和 __globals__ 机制，通过递归合并函数或深度属性设置函数（如 pydash.set_()），从一个普通对象"跳出"当前作用域，修改全局变量、Flask 配置、Jinja2 引擎设置，实现 RCE、文件读取或权限提升。

深入参考

• Flask/Jinja2 完整污染目标清单 → references/flask-jinja2-targets.md
• Phase 3A-3I 详细利用 Payload 与 Phase 4 高级链 → references/exploitation-payloads.md
• pydash 路径过滤绕过 + Cookie 八进制绕过 → references/pydash-bypass.md
• Sanic 框架污染链 → references/sanic-pollution-chain.md
• 完整污染链速查清单 → references/quick-reference.md

---

Phase 0: 识别污染入口

寻找将用户 JSON 输入递归合并/设置到 Python 对象的代码模式：

| 入口类型 | 代码特征 | 常见接口 | |---------|---------|---------| | 自定义 merge 函数 | def merge(src, dst) + setattr(dst, k, v) | POST JSON 配置更新 | | pydash.set_() | pydash.set_(obj, path, value) | API 属性设置 | | pydash.get() | pydash.get(obj, path) | API 属性查询 | | pydash.invoke() | pydash.invoke(obj, path, arg) | API 方法调用 | | 其他深度设置库 | glom, box, 任何 deep-set 实现 | 配置更新接口 |

识别信号：

• 接口接受嵌套 JSON 对象（{"a": {"b": {"c": "value"}}} 格式）
• 接口接受点分路径字符串（"a.b.c" 格式）
• 响应头显示 Python/Flask/Werkzeug/uvicorn
• 页面/源码/requirements.txt 提及 pydash、merge、update

Phase 1: 确认污染可行性

1.1 判断 obj 类型

| obj 类型 | 起步路径 | 识别方法 | |---------|---------|---------| | 自定义类实例 | __init__.__globals__ | 直接设 __init__.__globals__.xxx 有效 | | 字典 (dict) | __class__.__init__.__globals__ | 需先 __class__ 跳出字典键值逻辑 |

1.2 无害探测（不破坏目标）

# merge 函数场景: 嵌套 JSON
curl -X POST http://target/api/merge \
  -H 'Content-Type: application/json' \
  -d '{"__class__": {"__name__": "test"}}'

# pydash.set_ 场景: 点分路径
curl -X POST http://target/api/update \
  -H 'Content-Type: application/json' \
  -d '{"path": "__class__.__name__", "value": "test"}'

# pydash.get 场景: 信息泄露探测
curl -X POST http://target/api/get \
  -H 'Content-Type: application/json' \
  -d '{"path": "__class__"}'

Phase 2: 选择污染目标

决策树

确认 Python 原型链污染可行
├── 目标使用 pydash.invoke()？
│   └── 是 → 直接 RCE（Phase 3A）
├── 目标使用 Flask？
│   ├── 需要提权？ → 污染类属性 is_admin（Phase 3B）
│   ├── 有 session？ → 污染 SECRET_KEY → 伪造 session（Phase 3C）
│   ├── 有 SSTI 但被过滤？ → 污染 Jinja2 定界符（Phase 3D）
│   ├── 有 render_template？ → 污染 searchpath/静态目录（Phase 3E）
│   └── 有 before_first_request？ → 重置 _got_first_request（Phase 3F）
├── 目标有文件上传？
│   ├── 代码调用相对路径命令 → PATH 劫持（Phase 3G）
│   └── 代码有懒加载 import → sys.path 劫持（Phase 3H）
└── 有函数 shell=False 等默认参数？
    └── 污染 __defaults__ / __kwdefaults__（Phase 3I）

各 Phase 的详细利用命令和代码见 references/exploitation-payloads.md

推荐攻击顺序

从低风险到高风险逐步升级：

1. 无害探测 → 确认污染可行（Phase 1.2）
2. 信息泄露 → 通过 get 读取 SECRET_KEY、app.config 等（Phase 3C 步骤 1）
3. 权限提升 → 污染 is_admin 或全局变量（Phase 3B）
4. 文件读取 → _static_url_path 或 searchpath（Phase 3E）
5. RCE → invoke / 定界符+SSTI / PATH 劫持（Phase 3A/3D/3G）

如果有 pydash 相关线索，同时通过 search_vulndb("pydash") 获取 CVE-2023-26145 条目中的详细利用链，两者互补。

与 SSTI 和反序列化的关系

| 技术 | 入口 | 关系 | |------|------|------| | 原型链污染 | merge/set_ 接口 | 本 skill | | SSTI | 模板注入点 | 原型链污染可改 Jinja2 定界符绕过 SSTI 过滤 | | 反序列化 | pickle/json | SECRET_KEY 被污染后可伪造 session → 触发 pickle 反序列化 |

三者可组合使用：原型链污染 → 修改 SECRET_KEY → 伪造 session → pickle RCE。