Python反序列化漏洞(入门)

最新推荐文章于 2024-08-07 00:00:00 发布
最新推荐文章于 2024-08-07 00:00:00 发布
阅读量483 收藏 5
点赞数 1
分类专栏： 反序列化漏洞合集 文章标签： web安全 python 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_51345235/article/details/131503800
版权
文章介绍了Python反序列化漏洞的基本原理，包括pickle模块的相关函数以及魔术方法如__reduce__(),__reduce_ex__(),__setstate__()在反序列化过程中的作用。文中还提到了其他语言如Java和PHP的序列化函数，并展示了如何利用魔术方法进行漏洞利用的演示。此外，文章推荐了Python代码审计工具Bandit用于检测此类安全问题，并提供了安装和使用指南。
摘要由CSDN通过智能技术生成

python反序列化漏洞前置知识

漏洞原理

代码中进行了反序列化操作，反序列化魔术方法可以被触发，且反序列化的参数可控

函数使用：

pickle.dump(obj, file) : 将对象序列化后保存到文件

pickle.load(file) : 读取文件， 将文件中的序列化内容反序列化为对象

pickle.dumps(obj) : 将对象序列化成字符串格式的字节流

pickle.

最低0.47元/天 解锁文章
xiaoheizi安全
关注
专栏目录
反序列化漏洞汇总
hackzkaq的博客
12-08 5176
一.反序列化的基本内容 类对象方法 类(Class): 用来描述具有相同的属性和方法的对象的集合。 它定义了该集合中每个对象所共有的属性和方法。对象是类的实例。 对象：通过类定义的数据结构实例。对象包括两个数据成员（类变量和实例变量）和方法。 对象:某一个具体的事物、实体或事例 类是类型，比如人类，犬类； 对象是某种类的一个实例（实际的例子），比如身为人类的你就是一个对象，你家养的狗就属于犬类的一个对象，或者说一个实例； 你可能经常会听到“实例化对象”，这句话的意思就是创建对象，此处的实例名词作动词用，作名
python反序列化漏洞 任意代码执行
01-20
上一篇博客中我介绍了python的字符串，元组，列表和字典的序列化 详细请看： python序列化中的字符串，列表，字典，类的序列化解释 这篇博客我将介绍 python反序列化漏洞 任意代码执行 那么怎么反序列化中运行任意代码呢？ 首先要说说__reduce__这个魔术方法， 这个方法用来表明类的对象应当如何序列化， 当其返回tuple类型时就可以实现任意代码执行 举个例子： import pickle import os class Student(object): name = 'yuaneuro' age = '20' def __reduce__(self):
python pickle反序列化漏洞_Python反序列化漏洞
weixin_39745013的博客
12-08 265
1、什么是序列化和php的序列化一样，是把string,字典，数组，类这些数据当作字节储存2、picklepickle.dumps()和pickle.loads() 分别是序列化和反序列化pickle.dump()和pickle.load是对文件的写入import picklex= 'cccccc'y = [1,2,3,4]z = {'name':'hzx','pass':'zzz'}print(...
深入探究Python反序列化漏洞：原理剖析与实战复现
最新发布
2301_80064376的博客
08-07 691
在现代应用程序开发中，Python反序列化漏洞已成为一个备受关注的安全问题。反序列化是Python中用于将字节流转换回对象的过程，但如果没有妥善处理，攻击者可以通过精心构造的恶意数据，利用反序列化漏洞执行任意代码，进而控制整个系统。理解Python反序列化漏洞的工作原理，并掌握其复现技巧，对于提升我们的安全防护水平至关重要。本文将深入剖析Python反序列化漏洞的原理，展示如何在实际环境中复现该漏洞，并提供有效的防御措施。无论你是网络安全的新手，还是经验丰富的开发者，都能从中获得宝贵的知识和实用的技能。
Python反序列化漏洞及魔术方法详细全解（链构造、自动审计工具bandit）
ran的博客
04-17 3483
魔术方法执行调用下面的代码，如果下面的代码可控的话，就可能存在反序列化漏洞。pickle.dump(obj, file) ：将对象序列化后保存到文件。 pickle.load(file) ：读取文件， 将文件中的序列化内容反序列化为对象。 pickle.dumps(obj) ：将对象序列化成字符串格式的字节流。 pickle.loads(bytes_obj) ：将字符串格式的字节流反序列化为对象。寻找LV6 -> 购买修改支付逻辑 -> 绕过admin限制需修改jwt值 -> 爆破jwt密匙 -> 重组jw
Python Pickle 反序列化漏洞
qq_46001025的博客
10-05 280
需要注意的一点：注意：对于我们自己定义的class，如果直接以 data=‘aaa’ 的方式赋初值，则这个date不会被打包，解决方案是写一个__init__()方法。python反序列化漏洞的产生和php的魔术方法有异曲同工之处，在Python2中的 __reduce__() 方法，会在每次的反序列化开始或结束时调用。字节码，如果python有写入的权限，那么会生成一个 .pyc 的字节码文件，若没有那就再内存中生成字节码，程序结束后丢弃。（以下称为机器吧）维护了两个东西：栈区和存储区。
浅谈python反序列化漏洞
Lethe's Blog
11-19 2840
0x01 python序列化与反序列化 Python 的序列化和反序列化是将一个类对象向字节流转化从而进行存储和传输，然后使用的时候再将字节流转化回原始的对象的一个过程。python中的序列化操作是通过pickle模块，而该模块主要包含l dumps将dict转化为str格式，loads将str格式转化为dict格式。 dump和load与文件操作结合起来， pickle.dump(obj, f...
WebGoat JAVA反序列化漏洞分析复现_webgoat反序列化，苦熬一个月
2401_83974064的博客
04-18 360
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。该方法代码如下，首先第6行进行传参token，跟到第10行，在进行反序列化对象创建的时候，进行了base64解码并返回到ois变量。这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。
java反序列化漏洞(入门)
xiaoheizi的博客
07-02 790
http参数，cookie，sesion，存储方式可能是base64(rO0），压缩后的base64(H4s),MII等Servlets http,Sockets,Session管理器，包含的协议就包括：JMX,RMI,JMS,JND1等(\xac\Xed) xm lXstream,XmldEcoder等（http Body:Content-type: application/xml）json(jackson,fastjson)http请求中包含。运行反序列化代码，可以看到序列化的数据被还原了。
探探JDBC反序列化漏洞
05-08 1001
更多精彩内容请关注我的同名公众号：程序员启航 漏洞复现 文章开始，先带大家复现JDBC反序列化漏洞 mysql恶意服务启动代码，如下 # -*- coding:utf-8 -*- import socket import binascii import os import sys import subprocess def receive_data(conn): data = conn.recv(1024) return str(data).lower() def send..
weblogic反序列化漏洞验证脚本（python版）对4.18最新漏洞检测
05-11
对weblogic最新漏洞的检测，自己已经测试，可以使用，在使用之前系统要安装python和修改py文件中的ip和weblogic端口
记 [CISCN2019 华北赛区 Day1 Web2]ikun 关于python的反序列化漏洞的思考
fly夏天的博客
03-30 1743
复现平台：buuctf 这题很是复杂，我也是研究了整整一天，发出来供诸位参考参考。 打开题目，脑海里不自觉的就想到了鸡你太美，为了守护世界上最好kunkun，必须搞出这题。 打开页面，是一个类似的商城页面，提示 下面是各种等级的B站账号，显然这题是想要我们购买一个lv6的账号，随便翻卡了几页还是没有看见lv6。 我们来抓包看看 可以通过传page的值来跳到指定页...
Python Pickle反序列化漏洞
Lemon's blog
11-15 4690
前言： 刷题的时候做了一道[CISCN2019]ikun的题目，提示考察的知识点是Python Pickle，之前接触的都是有关PHP反序列化，这次就来好好学习一下Python Pickle反序列化漏洞。 基础知识 0x00:Pickle库及函数 pickle是python语言的一个标准模块，实现了基本的数据序列化和反序列化。 pickle模块是以二进制的形式序列化后保存到文件中（保存文件的后缀为.pkl），不能直接打开进行预览。 函数 说明 dumps 对象反序列化为bytes对象
【Python】Pickle/PyTorch反序列化漏洞
兴趣使然的创作者
02-28 1320
一个漏洞
python pickle反序列化漏洞
weixin_43610673的博客
05-20 3176
前置知识 什么是pickle pickle是Python专用的一个进行序列化和反序列化的工具包，pickle能表示Python几乎所有的类型（包括自定义类型），由一系列opcode组成，模拟了类似堆栈的内存。 与PHP序列化或者JSON，这些以键值对形式存储序列化对象数据的不同，pickle 序列化（Python独有）是将一个 Python 对象及其所拥有的层次结构变成可以持久化储存的二进制数据，无法像JSON 一样直观阅读。在Python中，采用术语 封存 (pickling)和 解封 (unpickli
python pickle反序列化漏洞_Python反序列化安全问题
weixin_39997194的博客
12-08 466
Python 反序列化安全问题(一)这一段时间使用flask做web开发，使用了redis存储session，阅读了flask_session源码，发现在存储session到redis过程中，利用了cPickle模块进行序列化以及反序列化；正好根据该样例学习一波Python反序列化相关的安全问题，不足之处请各位表哥指出。一、基础知识讲解1.1 cPickle模块Python中主要是用cPickle...
python安全开发——Web2 WriteUp反序列化漏洞
m0_61506558的博客
10-08 488
我们不妨把状态码改一下，admin.py 存在反序列化pickle.loads()，看不懂代码的看这个。将生成的 payload 传给 become 传入服务器可成功回显 flag。找密钥，正是刚才注册的 id，就想着这里能不能未授权登陆管理员账号。找page，使用sleep()函数是为了防止安全狗封IP。访问181，创建了一个账号，查看余额，远远不够买 lv6。出 JWT 的 key 为 1Kun。好家伙，垂直越权，找cookie。JWT非常熟悉，上星期刚刚挖过它。前端验证,F12修改打折的数目。
python反序列化漏洞防御
09-13
要防止Python反序列化漏洞，您可以采取以下几种措施： 1. 验证和过滤输入：在反序列化之前，验证和过滤所有传入的数据。确保只接受可信任和预期的数据，并拒绝任何可能包含恶意代码的输入。 2. 使用安全的反序列化库：选择使用具有安全特性的反序列化库，如JSON或MessagePack。这些库实现了一些安全措施来防止常见的反序列化漏洞。 3. 限制反序列化的可用类：在反序列化之前，限制可以被反序列化的类的范围。可以通过白名单机制，只允许反序列化特定的类，并拒绝其他类的反序列化操作。 4. 更新Python版本：保持您的Python环境更新到最新版本，并及时应用安全补丁。新版本通常会修复已知的安全漏洞，并提供更强大的安全特性。 5. 沙箱环境：在处理不可信任的反序列化数据时，可以考虑在受控的沙箱环境中执行反序列化操作。这样即使存在漏洞，也可以限制对系统的潜在危害。 6. 安全审查：定期进行代码审查和安全审计，以识别和修复潜在的反序列化漏洞。这可以帮助您发现并纠正代码中的安全问题。 请注意，这些措施并不能保证完全防止所有类型的反序列化漏洞，因此在编写和使用具有反序列化功能的代码时，始终要保持警惕并遵循最佳安全实践。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

xiaoheizi安全

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值