学习 Python 这么多年,掉过的那些安全漏洞

脚本之家

你与百万开发者在一起

程序猿的那些事、红包送书等活动等着你

源| CSDN

编写安全的代码很难。学一门语言、一个模块或一个框架时,你学到的是它应该怎么用。而在安全方面,你需要考虑它们能怎样被滥用。Python 也不例外,即使标准库的文档里已经清清楚楚地写出了那些错误的用法。即使如此,笔者与许多 Python 开发者交谈时也发现他们根本不知道这些。

以下是笔者多年开发过程中经常遇到的 10 条 Python 应用中的陷阱,排名不分先后,希望为正在学习 Python 的开发者们有所助益。

1、输入注入

输入注入攻击被应用得非常广泛。有许多种注入方式,能够影响到所有语言、框架和环境。

首先是 SQL 注入。如果不使用 ORM,而是直接通过字符串结合变量的方式书写 SQL 查询,就有 SQL 注入的可能性。我看过许多代码试图利用转义符防止 SQL 注入。事实上,转义符做不到。

各种复杂的 SQL 注入方式:

https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/

命令注入发生在通过 popen、subprocess、os.system 调用进程,并传递变量作为参数时发生。调用本地命令时,参数变量有可能会被人为设置成恶意值。以下这段代码(https://www.kevinlondon.com/2015/07/26/dangerous-python-functions.html)由用户提供文件名,然后调用子进程:

应对方式:

如果你使用了 Web 框架,就利用 Web 框架提供的工具对输入进行净化。除非有足够的理由,否则不要手工拼写 SQL 查询。大部分 ORM 都会提供净化的手段。

对于命令行,可以使用 shlex 模块来正确地对输入进行转义

(https://docs.python.org/3/library/shlex.html#shlex.quote)。

2、分析XML

如果应用程序要加载并解析 XML 文件,那么你用的 XML 标准库模块有可能会受到攻击。有几种通过 XML 进行攻击的常见手段。大多数都是 DoS 攻击(拒绝服务攻击,目的是让系统瘫痪,而不是窃取数据)。这些攻击很常用,在需要解析外部 XML 文件(即不被信任的 XML 文件)时尤甚。

一种攻击叫做“billion laughs”攻击,该方法由于其内容通常包含大量“lol”(十亿个)而得名。其原理是 XML 可以引用实体,因此当 XML 解析器加载该文件时,它会占用几个 G 的内存。不信的话试试看。

另一种攻击方法叫做外部实体扩展。XML 支持从外部 UR L引用实体,因此 XML 解析器通常会不加怀疑地读取并加载外部资源。“由于这些请求都来自内部可信赖的 IP 地址,不是外部地址,因此攻击者可以用这个方法绕过防火墙,访问到本来无法访问的资源。”

另一种需要考虑的情况就是你在解析 XML(如配置文件、远程 API)的时候依赖的第三方软件包。你甚至都没办法知道哪个依赖会受到这种攻击。

那么 Python 如何?实际上标准库的模块 etree、DOM、xmlrpc 都广泛受到这种攻击的影响。这里有详细的文档:

https://docs.python.org/3/library/xml.html#xml-vulnerabilities

应对方法:

使用 defusedxml(https://pypi.org/project/defusedxml/)替换标准库模块。这个模块能防止这类攻击。

3、断言语句

不要用断言语句阻断用户不应该访问的代码。比如这个简单的例子:

默认情况下 Python 执行时 __debug__ 为真,但在生产环境中通常会做一些优化,这样所有断言语句都不会被运行,从而无论用户不是不是管理员都能访问到后面的代码。

应对方法:

断言语句只用来给开发者提供信息,例如在单元测试中使用,或者用来防止错误的 API 用法。

4、计时攻击

计时攻击的基本原理是通过测量代码的执行时间,来判断代码的行为和算法。计时攻击需要精确的时间测量,所以通常不会在高延迟的远程网络上实施。由于绝大多数 Web 应用的延迟变化很大,因此在 HTTP Web 服务器上实施计时攻击几乎不可能。

但是,如果有个提示输入密码的命令行应用,那么攻击者就可以写个简单的脚本,测量它比较给定值与实际密码所花费的时间。例子在此

(http://jyx.github.io/blog/2014/02/02/timing-attack-proof-of-concept/)。

有一些用 Python 写的非常好的例子,比如这个基于 SSH 的计时攻击

(https://github.com/c0r3dump3d/osueta)。可以去看看它们是如何工作的。

应对方法:

使用 Python 3.5 新加入的 secrets.compare_digest 来比较密码和其他私密值。

5、被污染的 site-packages 或 import 路径

Python 的 import 系统非常灵活。这在编写测试程序或需要重载核心功能时很方便。

但是,它是 Python 最大的安全漏洞之一。

在 site-packages 里安装第三方软件包,不论是在虚拟环境中还是在全局的 site-packages(全局方式强烈不建议)中安装,都会暴露出那些软件包中的安全漏洞。

曾经发生过把执行任意代码的包用与流行软件包相似的名字发布到 PyPi 上的事情

(http://www.nbu.gov.sk/skcsirt-sa-20170909-pypi/)。最大的事故到现在依然没有被真正解决,尽管它只是为了提醒人们而没有造成任何危害……

另一种能想到的情况就是依赖的依赖(以及进一步的依赖等)。这有可能会引入脆弱性,还有可能通过 import 系统重载 Python 的核心功能。

应对方法:

对软件包进行审查。看看 PyUp.io 和他们的安全服务(http://pyup.io/)。所有应用都使用虚拟环境,全局 site-packages 越干净越好。检查包的签名。

6、临时文件

在 Python 中创建临时文件通常都要用 mktemp() 生成文件名,然后利用该文件名创建文件。“这种方式并不安全,因为另一个进程可能会在你调用 mktemp() 和后面创建文件的调用之间创建一个文件。”

(https://docs.python.org/3/library/tempfile.html#deprecated-functions-and-variables)

这意味着这种方法可以诱导你的应用程序加载错误的数据,或泄露临时文件的数据。

最新版本的 Python 中,如果调用了错误的方法,就会引发运行时警告。

应对方法:

需要创建临时文件时,使用 tempfile 模块和 mkstemp 函数

(https://docs.python.org/3/library/tempfile.html#tempfile.mkstemp)。

7、使用 yaml.load

引用 PyYAML 文档中的警告:

警告:对任意不可信的来源中的数据调用 yaml.load 是不安全的!yaml.load 和 pickle.load 同样强大,可能会调用任何 Python 函数。

流行的 Python 项目 Ansible 中有这样一个漂亮的例子

(https://www.talosintelligence.com/reports/TALOS-2017-0305)。给 Ansible Vault 提供下面这段(合法的)YAML。它就会利用文件中提供的参数调用 os.system() 。

因此,加载用户提供的 YAML 文件就会受到这种攻击。

应对方法:

除非有足够的理由,否则永远使用 yaml.safe_load。

8、Pickles

反序列化 pickle 的数据和 YAML 一样脆弱。Python 类可以定义魔术方法 __reduce__,该方法可以返回字符串,也可以返回一个元组,其中包含可调用的对象和参数,在 pickle 的时候就会被调用。攻击者可以用这种方式调用某个子进程模块,从而在系统上执行任意命令。

这个例子(https://blog.nelhage.com/2011/03/exploiting-pickle/)演示了怎样在 Python 2 上通过 pickle 一个类来打开 shell。这里

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20180714B127JQ00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券