Python代码对象code-object与__code__属性
0x01概念
代码对象 code object 是一段可执行的 Python 代码在 CPython 中的内部表示。
可执行的 Python 代码包括：
- 函数
- 模块
- 类
- 生成器表达式
当你运行一段代码时，它被解析并编译成代码对象，随后被 CPython 虚拟机执行。
代码对象包含一系列直接操作虚拟机内部状态的指令。
这跟你在用 C 语言编程时是类似的，你写出人类可读的文本，然后用编译器转换成二进制形式，二进制代码（C 的机器码或者是 Python 的字节码）被 CPU（对于 C 语言来说）或者 CPython 虚拟机虚拟的 CPU 直接执行。
代码对象除了包含 指令，还提供了虚拟机运行代码所需要的一些 额外信息。
0x02探索
以下的内容是在 Python 3.7 中实验的，而且主要是针对于函数来讲。至于模块和类虽然也是通过代码对象实现的（实际上，.pyc 文件里面就存放着序列化的模块代码对象），但是代码对象的大多数特性主要和函数相关。
关于版本需要注意两点：
- 在 Python 2 中，函数的代码对象通过 函数.func_code 来访问；而 Python 3 中，则需要通过 函数.code 来访问。
- Python 3 的代码对象增加了一个新属性 co_kwonlyargcount，对应强制关键字参数 keyword-only argument。
首先在控制台找出属于 函数.code 的所有不以双下划线开头的属性，一共有 15 个。
1 | li = [i for i in dir((lambda: 0).__code__) if not i.startswith('__')] |
官方文档：
| 属性 | 描述 |
|---|---|
| co_argcount | number of arguments (not including keyword only arguments, * or ** args) |
| co_code | string of raw compiled bytecode |
| co_cellvars | tuple of names of cell variables (referenced by containing scopes) |
| co_consts | tuple of constants used in the bytecode |
| co_filename | name of file in which this code object was created |
| co_firstlineno | number of first line in Python source code |
| co_flags | bitmap of CO_* flags, read more here |
| co_lnotab | encoded mapping of line numbers to bytecode indices |
| co_freevars | tuple of names of free variables (referenced via a function’s closure) |
| co_kwonlyargcount | number of keyword only arguments (not including ** arg) |
| co_name | name with which this code object was defined |
| co_names | tuple of names of local variables |
| co_nlocals | number of local variables |
| co_stacksize | virtual machine stack space required |
| co_varnames | tuple of names of arguments and local variables |
下面逐个解释：
co_argcount：函数接收参数的个数，不包括 *args 和 **kwargs 以及强制关键字参数。
1 | def test(a, b, c, d=1, e=2, *args, f=3, g, h=4, **kwargs): |
co_code：二进制格式的字节码bytecode，以字节串bytes的形式存储（在 Python 2 中以 str 类型存储）。它为虚拟机提供一系列的指令。函数从第一条指令开始执行，在碰到RETURN_VALUE指令的时候停止执行。
其他字节码指令 bytecode instruction 请参阅官方文档：
Python Bytecode Instructions
字节码中每个指令所占字节数是不一样的。
每条指令都有一个操作码 opcode，它指明了虚拟机需要进行的操作，还有一个可选的参数，这个参数是一个整数。
操作码 opcode 是单字节的整数，所以最多有 256 个不同的操作码，尽管其中很多没有被用到。
每个操作码都有名字，在 dis 模块的 dis 函数的输出中可以见到，同时它们在 opcode 标准库模块中定义。
1 | from opcode import opname |
不接收参数的操作码占用一个字节，而接收参数的操作码占用三个字节，其中第二、第三个字节按照小端序 little-endian order 存储参数。如果参数无法用两个字节表示，比如说大于 65535，则会用到特殊的操作码 EXTENDED_ARG。
co_cellvars和co_freevars:这两个属性用来实现嵌套函数的作用域。
co_cellvars元组里面存储着所有被嵌套函数用到的变量名。
co_freevars元组里面存储着所有被函数使用的在闭包作用域中定义的变量名。
这些元组内的变量名均按照字母表顺序排列。
如下例子所示，a和c是f的cellvars、是g的freevars。
1 | def f(a, b): |
-
co_consts：在函数中用到的所有常量，比如整数、字符串、布尔值等等。它会被LOAD_CONST操作码使用，该操作码需要一个索引值作为参数，指明需要从co_consts元组中加载哪一个元素。
co_consts元组的第一个元素是函数的文档字符串docstring，如果没有则为None。 -
co_filename：代码对象所在的文件名。
test.py
1 | f = lambda: 0 |
- co_firstlineno：代码对象的第一行位于所在文件的行号。
1 | # comment |
-
co_flags：这是一个整数，存放着函数的组合布尔标志位。
可以在inspect模块的文档中查看这些标志位的具体含义：Code Objects Bit Flags -
co_lnotab：这个属性是 line number table 行号表的缩写。它以字节串 bytes 的形式存储，每两个字节是一对，分别是 co_code 字节串的偏移量和 Python 行号的偏移量。
具体参阅：lnotab_notes.txt -
co_kwonlyargcount：存放强制关键字参数的个数。在 Python 2 中则没有这个属性。
1 | def test(a, b, c, d=1, e=2, *args, f=3, g, h=4, **kwargs): |
- co_name：是与代码对象关联的对象的名字。
1 | func = lambda: 0 |
- co_names：该属性是由字符串组成的元组，里面按照使用顺序存放了全局变量和被导入的名字。（注意官方文档的表格中说是局部变量的名字，实际上是不对的）
1 | a = 1 |
co_nlocals：函数中局部变量的个数，相当于是co_varnames的长度。co_stacksize：一个整数，代表函数会使用的最大栈空间。co_varnames：函数所有的局部变量名称（包括函数参数）组成的元组。
首先是位置参数、默认参数和强制关键字参数
然后是*args和**kwargs（如果有的话）
最后是按照第一次使用顺序排列的其他局部变量。
1 | def test(a, b, c, d=1, e=2, *args, f=3, g, h=4, **kwargs): |
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 Rick！
相关推荐
2020-03-12
Python-Opcode及利用Opcode绕过python沙箱
0x01 OpCode opcode又称为操作码，是将python源代码进行编译之后的结果，python虚拟机无法直接执行human-readable的源代码，因此python编译器第一步先将源代码进行编译，以此得到opcode。例如在执行python程序时一般会先生成一个pyc文件，pyc文件就是编译后的结果，其中含有opcode序列。 如何查看一个函数的OpCode? 12345def a(): if 1 == 2: print("flag{****}")print "Opcode of a():",a.__code__.co_code.encode('hex') 通过此方法我们可以得到a函数的OpCode co_code string of raw compiled bytecode Opcode of a(): 6401006402006b020072140064030047486e000064000053 我们可以通过dis库获得相应的解析结果。 123import...
2020-03-07
python-Pickle序列化
Pickle构造原理 0x00 Pickle是干什么用的：序列化、反序列化 在很多任务中，我们可能会需要把一些内容存储起来，以备后续利用。如果我们要存储的内容只是一条字符串或是数字，那么我们只需要把它写进文件就行。然而，如果我们需要存储的东西是一个dict、一个list，甚至一个对象： 123456class dairy(): date = 20191029 text = "今天哈尔滨冷死人了QAQ" todo = ['大物实验报告', 'CTF题', 'CSAPP作业']today = dairy() 要把这样的dairy实例today存放在文件里，日后还要支持随时导入，就是很麻烦的事情了。通行的做法是：通过一套方案，把这个today 翻译成一个字符串，然后把字符串写进文件；读取的时候，通过读文件拿到字符串，然后翻译成dairy类的一个实例。 我们把“对象 -> 字符串”的翻译过程称为“序列化”；相应地，把“字符串 -> 对象”的过程称为“反序列化” ...
2020-02-23
python沙箱逃逸
https://www.jianshu.com/p/a77c50dfebcb 12345678910111213#!/usr/bin/env python# encoding: utf-8cnt=0for item in [].__class__.__base__.__subclasses__(): try: if 'os' in item.__init__.__globals__: print cnt,item cnt+=1 except: print "error",cnt,item cnt+=1 ...
2020-05-07
CTF中的htaccess
服务器中间件为apache，因此想到了传.htaceess来解析php，通常我们用 .htaccess来解析非php后缀文件时用到 AddType application/x-httpd-php .ppp 或者 123<FilesMatch "shell.jpg"> SetHandler application/x-httpd-php</FilesMatch> auto_append_file和auto_prepend_file 相关bypass 如果文件末尾被自动加上一句话,会导致服务器500错误,这时候可以在最后添加#\ 将换行转义成普通字符 如果特殊字符被实体编码, 可以通过特殊编码来绕过 相关比赛 XNUCA2019Qualifier
2020-03-19
PHP-RCE-Bypass
无参数函数执行 https://skysec.top/2019/03/29/PHP-Parametric-Function-RCE/ 大致思路如下： 利用超全局变量进行bypass，进行RCE 进行任意文件读取 什么是无参数函数RCE 传统意义上，如果我们有 1eval($_GET['code']); 即代表我们拥有了一句话木马，可以进行getshell，例如 但是如果有如下限制 1if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) { ...
2020-02-27
PHP参数字符串解析特性
利用PHP的字符串解析特性Bypass 我们知道PHP将查询字符串（在URL或正文中）转换为内部GET或的关联数组_GET或的关联数组GET或的关联数组_POST。例如：/?foo=bar变成Array([foo] => “bar”)。值得注意的是，查询字符串在解析的过程中会将某些字符删除或用下划线代替。例如，/?%20news[id%00=42会转换为Array([news_id] => 42)。如果一个IDS/IPS或WAF中有一条规则是当news_id参数的值是一个非数字的值则拦截，那么我们就可以用以下语句绕过： 1/news.php?%20news[id%00=42"+AND+1=0-- 上述PHP语句的参数%20news[id%00的值将存储到$_GET[“news_id”]中。 PHP需要将所有参数转换为有效的变量名，因此在解析查询字符串时，它会做两件事： 1.删除空白符 2.将某些字符转换为下划线（包括空格） 例如： User input Decoded...
评论