总的来说就是调用python或者框架的内建/全局类，变量，函数获取敏感信息/执行敏感操作，做题时先明确题目环境再去官方文档中查找全局变量，类，函数。

返回当前对象实例的类。

返回一个由当前类父类构成的元组，由于python允许多重继承。

返回一个由当前函数可以访问到的变量，方法，模块组成的字典，不包含该函数内声明的局部变量。

in python2 func.func_globals is func.__globals__

返回一个由当前类的所有子类构成的列表。

python2中形如

的定义不会继承于object对象，所以不能用__subclasses__()方法，但在python3中即使这样声明也会继承于object。

返回一个由内建函数函数名组成的列表。

返回一个由当前类继承链组成的元组。

返回索引为index的值。

利用字符串，列表，元组，字典，集合等基本对象获取类，通过类获取基本类object，通过object获取敏感类对象。

创建file对象后以可通过read()/write()函数进行文件读写。

在 object.__subclasses__()[59/139].__init__.__globals__['__builtins__'] 下储存了一些函数可供调用。

既然可以使用if语句，同样也可以使用类似盲注的方式，逐字爆破。

过滤了括号，没法用__subclassess__获取子类，并且config和self置空。查看 flask文档

flask为jinja2模板提供了两个函数get_flashed_messages()和url_for()，选择任意一个函数，构造payload

http://domainname/shrine/{{url_for.__globals__}}

提交后看到回显里有一个current_app属性，构造payload

http://domainname/shrine/{{url_for.__globals__.current_app.config}} 或者 http://domainname/shrine/{{url_for.__globals__.['current_app']['config']}}

即可获取flag

给出一个ctftime上的wp

这个wp中的payload很长是因为search函数进行了深度优先搜索，利用request作为起点的payload也可以简化为

request._get_data_for_json.__globals__['current_app'].config['FLAG'] 。总之就是通过__globals__获取全局变量。

在很多的python库之中，我们可以看到有的时候，库作者会使用一些很特殊的“列表”或者“字典”。虽然他们看起来很像是一个列表或者字典，但是使用的方法却又不一样，这是因为那不是真的python中原本的列表和字典，而是作者自己创建的。那么，我们如何可以创建我们自己的列表和字典呢？

前后都使用两个下划线的方法，一般被称之为魔法方法，比如我们常见的 init ，就是一种魔法方法。一般来说，我们自行定义变量名的时候，不要定义很像是魔法方法的变量名。魔法方法被定义后，可以在适当的时候自动被调用，一般不需要手动对其进行调用。

在python中，实现一个序列，我们需要以下四种魔法方法

另外，一般来说，错误的键应当引发TypeError异常，而错误的索引应当引发IndexError异常

在python的列表中，只能够使用数字作为索引，如果使用字符串的数字的话，那么会引发异常。因此，我们可以尝试一下，对原始的列表进行扩充，使其可以接受字符串作为列表的索引。

注意，这样的自建列表，存在很多问题，几乎全部的关于列表的方法都不能再被使用了。

为了解决正常列表的方法不能再被使用，我们可以考虑直接继承list，以此得到普通列表的所有方法。

一 .module

通常模块为一个文件，直接使用import来导入就好了。可以作为module的文件类型有".py"、".pyo"、".pyc"、".pyd"、".so"、".dll"。

二. package

通常包总是一个目录，可以使用import导入包，或者from + import来导入包中的部分模块。包目录下为首的一个文件便是 __init__.py。然后是一些模块文件和子目录，假如子目录中也有 __init__.py 那么它就是这个包的子包了。

一.模块你可以使用import语句将一个源代码文件作为模块导入.例如:

[python] view plain copy

# file : spam.py

a = 37                    # 一个变量

def foo:                  # 一个函数

print "I'm foo"

class bar:                # 一个类

def grok(self):

print "I'm bar.grok"

b = bar()                 # 创建一个实例

使用import spam 语句就可以将这个文件作为模块导入。系统在导入模块时，要做以下三件事：

1.为源代码文件中定义的对象创建一个名字空间，通过这个名字空间可以访问到模块中定义的函数及变量。

2.在新创建的名字空间里执行源代码文件.

3.创建一个名为源代码文件的对象，该对象引用模块的名字空间，这样就可以通过这个对象访问模块中的函数及变量，如：  

[python] view plain copy

import spam           # 导入并运行模块 spam

print spam.a          # 访问模块 spam 的属性

spam.foo()

c = spam.bar()

用逗号分割模块名称就可以同时导入多个模块:

[python] view plain copy

import socket, os, regex

模块导入时可以使用 as 关键字来改变模块的引用对象名字:

[python] view plain copy

import os as system

import socket as net, thread as threads

system.chdir("..")

net.gethostname()

使用from语句可以将模块中的对象直接导入到当前的名字空间. from语句不创建一个到模块名字空间的引用对象，而是把被导入模块的一个或多个对象直接放入当前的名字空间:

[python] view plain copy

from socket import gethostname # 将gethostname放如当前名字空间

print gethostname()            # 直接调用

socket.gethostname()           # 引发异常NameError: socket

from语句支持逗号分割的对象，也可以使用星号(*)代表模块中除下划线开头的所有对象:

[python] view plain copy

from socket import gethostname, socket

from socket import *   # 载入所有对象到当前名字空间

不过，如果一个模块如果定义有列表__all__，则from module import * 语句只能导入__all__列表中存在的对象。

[python] view plain copy

# module: foo.py

__all__ = [ 'bar', 'spam' ]     # 定义使用 `*` 可以导入的对象

另外, as 也可以和 from 联合使用:

[python] view plain copy

from socket import gethostname as hostname

h = hostname()

import 语句可以在程序的任何位置使用，你可以在程序中多次导入同一个模块，但模块中的代码*仅仅*在该模块被首次导入时执行。后面的import语句只是简单的创建一个到模块名字空间的引用而已。sys.modules字典中保存着所有被导入模块的模块名到模块对象的映射。这个字典用来决定是否需要使用import语句来导入一个模块的最新拷贝.

from module import * 语句只能用于一个模块的最顶层.*特别注意*：由于存在作用域冲突，不允许在函数中使用from 语句。 

每个模块都拥有 __name__ 属性，它是一个内容为模块名字的字符串。最顶层的模块名称是 __main__ .命令行或是交互模式下程序都运行在__main__ 模块内部. 利用__name__属性，我们可以让同一个程序在不同的场合（单独执行或被导入)具有不同的行为，象下面这样做：

[python] view plain copy

# 检查是单独执行还是被导入

if __name__ == '__main__':

# Yes

statements

else:

# No (可能被作为模块导入)

statements

模块搜索路径

导入模块时,解释器会搜索sys.path列表,这个列表中保存着一系列目录。一个典型的sys.path 列表的值：

Linux:

['', '/usr/local/lib/python2.0',

     '/usr/local/lib/python2.0/plat-sunos5',

     '/usr/local/lib/python2.0/lib-tk',

     '/usr/local/lib/python2.0/lib-dynload',

     '/usr/local/lib/python2.0/site-packages']

Windows:

['', 'C:\\WINDOWS\\system32\\python24.zip', 'C:\\Documents and Settings\\weizhong', 'C:\\Python24\\DLLs', 'C:\\Python24\\lib', 'C:\\Python24\\lib\\plat-win', 'C:\\Python24\\lib\\lib-tk', 'C:\\Python24\\Lib\\site-packages\\pythonwin', 'C:\\Python24', 'C:\\Python24\\lib\\site-packages', 'C:\\Python24\\lib\\site-packages\\win32', 'C:\\Python24\\lib\\site-packages\\win32\\lib', 'C:\\Python24\\lib\\site-packages\\wx-2.6-msw-unicode']

空字符串 代表当前目录. 要加入新的搜索路径,只需要将这个路径加入到这个列表. 

 

模块导入和汇编

到现在为止，本章介绍的模块都是包含Python源代码的文本文件. 不过模块不限于此，可以被 import 语句导入的模块共有以下四类: 

•使用Python写的程序( .py文件)

•C或C++扩展(已编译为共享库或DLL文件)

•包(包含多个模块)

•内建模块(使用C编写并已链接到Python解释器内)

当查询模块 foo 时,解释器按照 sys.path 列表中目录顺序来查找以下文件(目录也是文件的一种): 

1.定义为一个包的目录 foo

2.foo.so, foomodule.so, foomodule.sl,或 foomodule.dll (已编译扩展)

3.foo.pyo (只在使用 -O 或 -OO 选项时)

4.foo.pyc

5.foo.py

 

对于.py文件,当一个模块第一次被导入时,它就被汇编为字节代码,并将字节码写入一个同名的 .pyc文件.后来的导入操作会直接读取.pyc文件而不是.py文件.(除非.py文件的修改日期更新,这种情况会重新生成.pyc文件) 在解释器使用 -O 选项时，扩展名为.pyo的同名文件被使用. pyo文件的内容虽去掉行号,断言,及其他调试信息的字节码，体积更小,运行速度更快.如果使用-OO选项代替-O,则文档字符串也会在创建.pyo文件时也被忽略.

如果在sys.path提供的所有路径均查找失败,解释器会继续在内建模块中寻找,如果再次失败，则引发 ImportError 异常. 

.pyc和.pyo文件的汇编,当且仅当import 语句执行时进行. 

当 import 语句搜索文件时,文件名是大小写敏感的。即使在文件系统大小写不敏感的系统上也是如此(Windows等). 这样, import foo 只会导入文件foo.py而不会是FOO.PY.

 

重新导入模块

如果更新了一个已经用import语句导入的模块，内建函数reload()可以重新导入并运行更新后的模块代码.它需要一个模块对象做为参数.例如: 

import foo

... some code ...

reload(foo)          # 重新导入 foo

在reload()运行之后的针对模块的操作都会使用新导入代码，不过reload()并不会更新使用旧模块创建的对象，因此有可能出现新旧版本对象共存的情况。 *注意* 使用C或C++编译的模块不能通过 reload() 函数来重新导入。记住一个原则，除非是在调试和开发过程中，否则不要使用reload()函数.

---