渗透学习之Python--格式化字符串漏洞

最新推荐文章于 2023-10-01 10:06:25 发布

New Ting

最新推荐文章于 2023-10-01 10:06:25 发布

阅读量632

点赞数

分类专栏：笔记文章标签：学习 python django 安全 web安全

本文链接：https://blog.csdn.net/qq_62886656/article/details/127218559

版权

笔记专栏收录该内容

18 篇文章 0 订阅

订阅专栏

1.1Python在字符串格式化的两种方式

%
format

1.2 %，关于整数的输出

%o：oct 八进制
%d：dec 十进制
%x：hex 十六进制

1.3 关于对格式化字符串的案例解释

print("整数：%d,%d,%d" % (1, 22.22, 33))
print("整数不足5位，左边补空格   %5d   " % 22)
print("整数不足5位，左边补0     %05d   " % 22)
print("整数不足5位，右边补空格  %-5d   " % 22, "end")
print("八进制 %o" % 222)
print("十六进制 %x" % 12)

就是用类似%d代替

包含知识点

当你有多个参数需要格式化输出的时候，需要用元组；注意不能用列表因为列表是可变的

（1,2,3）

若传入的是浮点数如，最后输出的是22，不会四舍五入哦

22.55

若传入了字符串，是会报错滴！

2.1 format格式化输出

相对基本格式化输出采用 % 的方法，format()功能更强大，该函数把字符串当成一个模板，通过传入的参数进行格式化，并且使用大括号 {} 作为特殊字符代替 %

format，位置匹配（最常用）

不带编号，即“{}”
带数字编号，可调换顺序，即“{1}”、“{2}”
带关键字，即“{a}”、“{tom}”

print("今天是{}的{}生日会".format("帅哥", 18))

print("今天是{1}的{0}生日会".format("帅哥", 18))

print("今天是{0}的{1}生日会".format("帅哥", 18))

print("今天是{name}的{key}生日会".format(22, 11, name="帅哥", key=18))

print("今天是{name}的{key}生日会，接着上{}".format("test", name="帅哥", key=18))

# 以下会报错
print("今天是{0}的{}生日会".format("帅哥", 18))

print("今天是{name}的{key}生日会，接着上{}".format( name="帅哥", key=18,"test"))

也就是用fomat里的参数去替换前面的{} 是一种格式化字符串方法

2.1 漏洞利用思路

首先我们暂时无法通过格式化字符串来执行代码，但我们可以利用格式化字符串中的“获取对象属性”、“获取数组数值”等方法来寻找、取得一些敏感信息。

以Django为例，如下的view：

def view(request, *args, **kwargs):
    template = 'Hello {user}, This is your email: ' + request.GET.get('email')
    return HttpResponse(template.format(user=request.user))

效果为显示登陆用户传入的email地址：