Python'eval'用于列表反序列化的安全性

Question

在这种情况下是否可能发生任何安全漏洞利用：

eval(repr(unsanitized_user_input), {"__builtins__": None}, {"True":True, "False":False})

unsanitized_user_inputstr对象在哪里。该字符串是用户生成的，可能令人讨厌。假设我们的网络框架没有让我们失败，那是一个来自Python内置函数的真正诚实的str实例。

如果这样做很危险，我们可以对输入进行任何操作以使其安全吗？

我们当然 不 希望执行字符串中包含的任何东西。

对于这个问题，我认为不是必不可少的更大范围是，我们有成千上万个这样的环境：

repr([unsanitized_user_input_1,
      unsanitized_user_input_2,
      unsanitized_user_input_3,
      unsanitized_user_input_4,
      ...])

在某些情况下嵌套：

repr([[unsanitized_user_input_1,
       unsanitized_user_input_2],
      [unsanitized_user_input_3,
       unsanitized_user_input_4],
       ...])

本身会使用转换为字符串repr()，并放入永久存储中，最后使用eval读回内存。

Eval从持久性存储中反序列化字符串的速度比pickle和simplejson快得多。解释器是Python
2.5，因此json和ast不可用。不允许使用C模块，也不允许使用cPickle。

Answer 1

这确实是危险的，最安全的选择是ast.literal_eval（请参阅标准库中的ast模块）。当然，您可以构建和更改一个ast，以便在评估结果AST之前（当其取决于文字时）提供变量评估等。

start的可能利用是eval从它可以动手的任何对象开始（True在这里说），然后通过.__
class_转到其类型对象，依此类推，直到object，然后获取其子类…基本上它可以到达任何对象类型并破坏破坏。我可以更具体一些，但我不希望在公共论坛上使用（该漏洞众所周知，但是考虑到仍然有很多人忽略它，将其透露给脚本小子可能会使情况变得更糟…只是避免eval未经消毒的情况而已）用户输入并从此过上幸福的生活！-）。