Python安全编码与代码审核
发布时间：2022-05-13 09:36:39 所属栏目：安全 来源：互联网
导读：现在一般的web开发框架安全已经做的挺好的了，比如大家常用的django，但是一些不规范的开发方式还是会导致一些常用的安全问题，下面就针对这些常用问题做一些总结。代码审计准备部分见《php代码审计》，这篇文档主要讲述各种常用错误场景，基本上都是咱们自
|
现在一般的web开发框架安全已经做的挺好的了，比如大家常用的django，但是一些不规范的开发方式还是会导致一些常用的安全问题，下面就针对这些常用问题做一些总结。代码审计准备部分见《php代码审计》，这篇文档主要讲述各种常用错误场景，基本上都是咱们自己的开发人员犯的错误，敏感信息已经去除。 未对输入和输出做过滤，场景： 复制 def xss_test(request): name = request.GET['name'] return HttpResponse('hello %s' %(name)) 在代码中一搜，发现有大量地方使用，比较正确的使用方式如下： 更好的就是对输入做限制，比如说一个正则范围，输出使用正确的api或者做好过滤。 审计代码过程中发现了一些编写代码的不好的习惯，体现最严重的就是在命令注入方面，本来python自身的一些函数库就能完成的功能，偏偏要调用os.system来通过shell 命令执行来完成，老实说最烦这种写代码的啦。下面举个简单的例子： 很显然这段代码是存在问题的，因为fullname是用户可控的。正确的做法是不使用os.system接口，改成python自有的库函数，这样就能避免命令注入。python的三种删除文件方式： (1)shutil.rmtree 删除一个文件夹及所有文件 (2)os.rmdir 删除一个空目录 (3)os.remove，unlink 删除一个文件 使用了上述接口之后还得注意不能穿越目录，不然整个系统都有可能被删除了。常见的存在命令执行风险的函数如下： os.system,os.popen,os.spaw*,os.exec*,os.open,os.popen*,commands.call,commands.getoutput,Popen* 推荐使用subprocess模块，同时确保shell=True未设置，否则也是存在注入风险的。 （编辑：东莞站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐