使用 exec 函数时需要注意的一些安全问题

众所周知,在 python 中可以使用 exec 函数来执行包含 python 源代码的字符串:


exec 函数的这个功能很是强大,慎用。如果一定要用的话,那么就需要注意一下下面这些安全相关的问题。

全局变量和内置函数

exec 执行的代码中,默认可以访问执行 exec 时的局部变量和全局变量, 同样也会修改全局变量。如果 exec 执行的代码是根据用户提交的数据生产的话,这种默认行为就是一个安全隐患。

如何更改这种默认行为呢?可以通过执行 exec 函数的时候再传两个参数的方式来 修改这种行为(详见 之前 关于 exec 的文章):

如果要限制使用内置函数的话,可以在 globals 参数中定义一下 __builtins__ 这个 key:

现在我们限制了访问和修改全局变量以及使用内置函数,难道这样就万事大吉了吗? 然而并非如此,还是可以通过其他的方式来获取内置函数甚至 os.system 函数。

另辟蹊径获取内置函数和 os.system

通过函数对象:

通过内置类型对象:

获取 os.system:

对于这两种办法又如何应对呢? 一种办法就是禁止访问以 _ 开头的属性:

  • 如果可以控制 code 的生成,那么就在生成 code 的时候判断
  • 如果不能的话,可以通过 dis 模块分析生成的 code:  (dist 无法分析嵌套函数的代码,正在查找更安全的办法)

我所知道的使用 exec 函数时需要注意的安全问题就是这些了。 如果你还知道其他需要注意的安全问题的话,欢迎留言告知。

打赏支持我写出更多好文章,谢谢!

打赏作者

打赏支持我写出更多好文章,谢谢!

1 收藏 评论

关于作者:mozillazg

好好学习,天天向上。 个人主页 · 我的文章 · 1 ·   

可能感兴趣的话题



直接登录
跳到底部
返回顶部