Python 中的 10 个常见安全漏洞，以及如何避免（下）

最新推荐文章于 2024-04-20 13:00:00 发布

极光推送

最新推荐文章于 2024-04-20 13:00:00 发布

阅读量393

点赞数

简评：编写安全代码很困难，当你学习一个编程语言、模块或框架时，你会学习其使用方法。在考虑安全性时，你需要考虑如何避免被滥用，Python 也不例外，即使在标准库中，也存在用于编写应用的不良实践。然而，许多 Python 开发人员却根本不知道它们。

接上篇

6. 解析 XML（Parsing XML）

如果你的应用程序要加载、解析 XML 文件，则你可能正在使用 XML 标准库模块。通过 XML 的攻击大多是 DoS 风格（旨在使系统崩溃而不是泄露数据），这些攻击十分常见，特别是在解析外部（即不可信任的）XML 文件时。

其中有个「billion laughs」，因为他的 payload 通常包含很多（十亿）「lols」。基本上，这个原理是可以在 XML 中使用参照实体，所以当解析器将这个 XML 文件加载到内存中时，它会消耗数 G 大小的内存（RAM）。

试试看，如果你不相信我的话 :-)

<?xml version="1.0"?>
<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
  <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
  <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
  <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
  <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
  <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

另一些攻击使用外部实体扩展。XML 支持从外部 URL 引用实体，XML解析器通常会毫无疑问地获取并加载该资源。「攻击者可以规避防火墙并访问受限制的资源，因为所有请求都是由内部可信的 IP 地址创建的，而不是来自外部。」

需要考虑的另一种情况是依赖的第三方软件包需要解码 XML ，例如配置文件、远程 API。你甚至可能不知道某个依赖关系会将这些类型的攻击置之不理。

修复：

使用 defusedxml 替换标准库模块，它增加了针对这些类型攻击的安全防护。

7. 受污染的 site-packages 或 import 路径

Python 的 import 系统非常灵活，当你想要为测试写猴子补丁或重载核心功能时，这是非常棒的。

但这却是 Python 中最大的安全漏洞之一。

安装第三方软件包，无论是在虚拟环境中还是全局（通常不鼓励）都会让你看到这些软件包中的安全漏洞。有一些发布到 PyPi 的软件包与流行的软件包具有相似的名称，但是却执行了任意代码。

需要考虑的另一种情况是依赖的依赖，他们可能包含漏洞，他们也可以通过导入系统覆盖Python 中的默认行为。

修复：

看看 http://PyUp.io 及其安全服务，为所有应用程序使用虚拟环境，并确保全局的 site-packages 尽可能干净，检查包签名。

8. 序列化 Pickles