jailCTF 2025 - impossibler

Challenge

impossible の強化版。builtins が空。

import re

code = input()

# 許可: 小文字、コロン、アンダースコア、ドット、角括弧
if not re.match(r'^[a-z_:\.\[\]]+$', code):
    exit()

eval(code, {'__builtins__': {}})

Python 3.11 以降、型パラメータ構文で __typing_subst__ が呼ばれる:

# T[arg] で T.__typing_subst__(T, arg) が呼ばれる
# これを悪用して1引数の関数を呼び出し

# builtins が空でもサブクラスチェーンは使える
().__class__.__bases__[0].__subclasses__()

# __typing_subst__ を使った関数呼び出し
# list comprehension で変数を設定
[x for x in ... if (setattr(...))]

Python 3.11 で導入された特殊メソッド:

from typing import TypeVar

T = TypeVar('T')

# T[int] は内部的に
T.__typing_subst__(T, int)
# を呼び出す

# walrus 演算子は使えないが、for 文の変数は使える
[x for x in [target] for y in [setattr(...)]]

# フレームからbuiltinsにアクセス
(x for x in []).gi_frame.f_builtins

# 一部のクラスで使用可能
list[some_value]

jail{...}