python的常见命令注入威胁

本文整理自网络，侵删。

ah！其实没有标题说的那么严重！

不过下面可是我们开发产品初期的一些血淋淋的案例，更多的安全威胁可以看看北北同学的《python hack》PPT，里面提及了不只命令执行的威胁，那些都是我们亲身经历的代码。

千万要记得执行命令的时候，不要信任其他传入数据就行了，既然意识到问题，那么修复方法是多种多样的。

在我们的系统中，多处出现问题然后修修补补是不靠谱的，那么我们需要一个通用的安全执行接口，这个接口过后更新进来。

此外，我们在开发新功能的时候，也要掌握安全编程的规范技巧，这些技巧不局限在命令执行安全。

总结了一下，就是一下几点要素啦：

•命令执行的字符串不要去拼接输入的参数，非要拼接的话，要对输入参数进行白名单过滤
•对传入的参数一定要做类型校验，例如知道是数字型的，就int测试一下，会安全许多
•对于拼接串，也要严格一些，例如int类型参数的拼接，对于参数要用%d，不要%s。
•使用subprocess来传入多个参数，就可以防止命令行注入

拿我们曾经的代码（当时是最新版=，=时过境迁了）存在的bug来做教程：

示例1（变量没过滤）：

a.py

site变量其实是个url格式的串，未经过滤。由于老版本中site格式没有出现问题，新版本支持url格式，就可以传入各种符号了。

代码如下:
cmd = 'python /a.py --task_id=%s --site=%s -b' % (taski, site)

示例2（不牢靠的过滤）：

util/ｕｐｄａｔｅ.py

downloadFile函数尽管对fileName使用了过滤，但绕过的方法很多。

linux下面的命令分隔方法非常多，黑名单法是不牢靠的。

代码如下:
fileName = downloadInfo[0]
fileName = fileName.ｒｅｐｌａｃｅ(';','').ｒｅｐｌａｃｅ('&','') #过滤文件名
localMd5 = os.popen('md5sum %s%s' %(path,fileName)).read()

阅读剩余部分

相关阅读 >>

java(jsp)整合discuz同步登录功能详解

opensns系统评测：社群经济的第一核心是身份标签

Discuz论坛标题和底部去掉版权信息实例讲解

个人网站运营优化经验实例分享

php用户密码加密算法分析【discuz加密算法】

asp 防止sql注入代码

discuzx没有合法的文件被上传的修复方法

可兼容ie的获取及设置cookie的jquery.cookie函数方法

如何在iis环境下配置rewrite规则 图文

asp.net 一个封装比较完整的ftp类

更多相关阅读请进入《Discuz论坛》频道 >>