杭州PyconChina2019

最新推荐文章于 2022-07-26 10:32:26 发布

测试游记

最新推荐文章于 2022-07-26 10:32:26 发布

阅读量282

点赞数

本文链接：https://blog.csdn.net/weixin_37786060/article/details/102645319

版权

来呀～

欢迎关注我的公众号「测试游记」

大会日程

640?wx_fmt=jpeg

现场

640?wx_fmt=jpeg

只因写了一段爬虫，公司 200 多人被抓！

编写更安全的 Python 代码

站在开发者的角度，在工作中大家最关注的是业务功能是否实现，业务逻辑是否正确，高级别的一些同学的会关注可扩展性等架构层面的问题。然而，大家都有共同特点：在完成工作（编写代码）时，几乎都是正向思维，会假定用户是按产品设计的流程操作的。

例如写用户余额减扣的代码，也只会写 if user.balance >= product.price, 紧接着一句 user.balance -= product.price。实际上这样的语句存在很大的安全隐患。

应用开发者们一般很少去思考自己所编写的代码可能存在的瑕疵和安全漏洞，就算其中有部分同学具有较强的安全意识，对如何编写安全的代码也只是停留在：内存访问别越界，别用eval函数，入参要做非法字符校验。

本演讲主题将分享给大家的是，在利用 Python 编写程序的过程中，有哪些不经意的“正常写法”可能存在安全隐患以及改进做法，使代码变得更安全，并介绍两个用于 Python 代码审查的工具。

小心 eval

import sys	
def run(s):	
  try:	
    v=eval(s)	
   except Exception as e:	
    print(e)	
 if __name__ == "__main__":	
  run(sys.argv[1])

$ python test eval.py "__import__("os").system('/bin/sh')"	
$ python test eval.py "print(globals())"

小心 input()

python3中输入变量直接执行的问题已经被修复

小心类型溢出

# python2	
$ range(100**100)	
OverflowError: range() result has too many items	
$ xrange(100**100)	
OverflowError: Python int too large to convert to C long

在python3中已经可以正确的处理

小心 assert

可以通过 -o 被跳过

小心 pickle

反序列化后直接进行运行了可调用部分「可能包含恶意代码 __reduce__」

小心 PyYAML

import yaml	
class ShellExp:	
  def __init__(self,args):	
    import os	
    os.system(args)	
if __name__ == '__mian__':	
    payload= "!!python/object/apply:__main__.ShellExp('/bin/sh')" 	
    ymal.load(payload)

!!在yml中表示强制类型转换

小心服务端模版注入(SSTI)

url中写入 {{xxx}}导致模版注入

不要在模版中使用 %s直接使用 {{var}}

小心注入攻击
SQL注入
NoSQL注入

程序在接受输入的时候，其可能来自一个攻击者，背后就可能产生注入的风险。

小心PyPI依赖包

Bandit：检查安全问题的攻击的工具

Homebot

通过Python和Telegram搭建一个家用机器人，并介绍一些相关的功能和生态环境

Python3的新特性和改进

随着Python2.x的停止维护时间（2020年1月1日）越来越近，各大流行Python包（Flask,Django,Ipython）也终止了Python2版本的支持。遗留项目切换到Python3的计划也要提上日程。本次主题演讲主要介绍Python3各个版本的新特性，改进，背后的原因，和从Python2代码迁移过来时需要注意的点。

2008年11月发布python3
2009年6月发布python3.1

collections.OrderedDict

collections.Counter

2011年2月发布python3.2

concurrent.futers

2012年9月发布python3.3

yield from

unittest.mock

2014年3月发布python3.4

asyncio

pathlib:面向对象的处理文件路径的库

2015年9月python3.5

async

await

type hints：静态类型检查

2016年11月python3.6

fstring
f"{var}"

2018年6月 python3.7

dataclasses

breakpoint

2019年10月14日 python3.8

:= 海象赋值

640?wx_fmt=jpeg

人人都爱 DataFrame：Pandas 到 Mars 的进阶之路

Pandas 作为最受数据科学家欢迎的分析库，提供了超多的接口来进行数据处理和分析。然而，在很多具体任务过程中，会遇到性能不尽如人意，但又不知如何优化的情况。本次演讲会介绍 Pandas 的常见优化策略，以及 Pandas 背后的实现原理。最后在常见优化手段都不起作用时，可以使用 Mars DataFrame 来并行和分布式加速计算。

通过各种方式实现从计算各省到杭州的距离的demo

分别比较下面几种方式的速度与资源的消耗

以数据为单位
以行为单位
以列为单位

最终引出分布式计算的 Mars封装

Mars：分而治之 https://github.com/mars-project/mars

用于Linux内核调试的Python

1) BCC(BPF Compiler Collection, 利用扩展的伯克利包过滤器 eBPF 来高效地跟踪内

核和操作应用程序的工具箱)的 Python 前端解析

2) 深入分析 LISA（Linux Integrated System Analysis, 基于 Python 的 Linux 内核交互

式分析和自动化测试利器）项目

3) 脚本化内核调试器 drgn 简介

4) 在开源 ARM 平台（如树莓派4等）上实践 BCC 和 drgn，以及 LISA 项目的扩展设计

议题涉及的主要技术链接：

https://en.wikipedia.org/wiki/BerkeleyPacketFilter

https://github.com/iovisor/bcc

https://github.com/ARM-software/lisa

https://github.com/osandov/drgn

https://www.raspberrypi.org/products/raspberry-pi-4-model-b/