Python代码审计中常见的漏洞（三）

武天旭

已于 2023-07-15 23:12:09 修改

阅读量913

点赞数 3

分类专栏：代码审计文章标签： python 代码审计

于 2020-05-31 13:05:21 首次发布

本文链接：https://blog.csdn.net/wutianxu123/article/details/106361698

版权

代码审计专栏收录该内容

54 篇文章 766 订阅 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

本文探讨了Python代码审计中七个重要的安全问题，包括服务器SSL校验禁用、不安全的SSL协议、Cookie明文存储敏感信息、日志伪造、重定向攻击、路径遍历漏洞和资源注入风险，并提供了相应的修复建议。通过了解这些问题，开发者可以提高代码的安全性，防止潜在的攻击。

摘要由CSDN通过智能技术生成

本博客地址：https://security.blog.csdn.net/article/details/106361698

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。

本篇介绍了以下代码安全问题：

编号	漏洞
1	服务器禁用SSL校验
2	不安全的SSL协议
3	在Cookie中明文存储敏感信息
4	日志伪造
5	重定向
6	路径遍历
7	资源注入

了解本专栏

订阅专栏解锁全文

超级会员免费看

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

武天旭

关注关注

3
点赞
踩
3

收藏

觉得还不错? 一键收藏
打赏
1
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录

订阅专栏

Python代码审计中常见的漏洞（一）

武天旭的博客

05-31

1842

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。本篇介绍了以下代码安全问题：

python项目代码审计_Python代码审计汇总

weixin_39861823的博客

11-29

776

1、任意代码执行任意代码执行需关注的函数，可使用正则搜索：eval\(|exec\(|execfile\(|compile\(需关注的危险库文件及函数有：os.system/popentimeit.timeitplatform.popencommands.getstatusoutputsubprocess.popen/call/check_output__import__("os").system...

1 条评论您还未登录，请先登录后发表或查看评论

python 代码审计-命令执行漏洞（自己编写的代码）

weixin_33904756的博客

09-10

412

python 代码审计-命令执行漏洞（自己编写的代码） 0x00 源代码 def execute(request): context ={} ip= request.POST.get("ip") username= request.POST.get("username") password= request.POST.get("password") idn...

代码审计：python代码审计汇总（持续更新中）

最新发布

黑战士的博客

07-14

1042

的。

python项目代码审计_Python 安全 -代码审计

weixin_39997696的博客

11-29

333

Python 安全 -代码审计杀戮 (有事请 at 大号园长) | 2014-12-02 12:23这次来讲关于自动化审计方面的。OpenStack 团队出品过一个Python代码审计工具叫bandit，思路很牛逼，通过AST模块将源代码转换为Python语法树，由用户自定义对语法树的节点进行测试。这就需要大致讲下编译器是如何解析源代码的，编译器会先将源代码通过词法分析进行分割，就是说什么算一个词...

Python代码审计中常见的漏洞（四）

武天旭的博客

10-05

1459

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。本篇介绍了以下代码安全问题：编号漏洞 1 服务端请求伪造

Python代码审计中常见的漏洞（二）

武天旭的博客

05-31

909

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。本篇介绍了以下代码安全问题：编号漏洞编号漏洞 1 文件权限控制 6 不安全的加密方式 2 格式化字符串注入 7 不安全的HMAC密钥形式 3 解压覆盖文件 8 不安全的哈希算法 4 不安全的密码形式 9 不安全的密码处理方式 5 不安全的密钥形式 10 不安全的PBE密码形式

python 代码审计项目.zip

01-17

Python代码审计是一个重要的软件开发环节，它涉及到对Python程序的质量控制和安全性检查。在这个项目中，我们关注的是Python项目的代码审计过程，这通常包括代码审查、静态分析和动态测试等多个方面。下面将详细讨论...

python项目代码审计_Python 代码审计的另外几个反序列化漏洞检查点

weixin_39626211的博客

11-29

240

哔哔两句最近刚做完某个白盒渗透项目，通读了整个项目代码后发现了几个比较明显的 Python 反序列化漏洞的问题。代码中使用了 Pickle 这个 Python 反序列化模块，除此以外还发现了另外一个比较陌生的模块。from sklearn.externals import joblib因为在这个项目中 pickle 模块加载的都是扩展名为 .pkl 的文件，我认为它是 PicK Le 的缩写，经过...

python动态代码审计

08-30

kcon议题《python 动态代码审计》，我已经将上面的所提到的技术广泛的用在我自己的工作之中，为我自己节省了大量的时间和精力。并且通过比较多实践，我把一些繁琐的过程和步骤做了简化，也填了大大小小的坑。与此同时，我找到了公司内部产品中出现的大大小小的漏洞，虽然这些漏洞没办法分享出来，但是我希望大家能从我今天分享的议题中学到一些有用的东西。这个议题里面提到的有些技术也可以用到php，go，ruby等语言里面。后续我也会把这个ppt中内容发到我的博客中，如果大家有什么问题和想法，欢迎在csdn上私信我，或者在我的留言板中留言

Python-Pylava是一个用于Python和JavaScript的代码审计工具

08-11

Pylava是一个用于Python和JavaScript的代码审计工具

Python入门实战：Python的代码审计

程序员光剑

11-25

397

1.背景介绍随着互联网、移动应用、物联网、云计算等新兴技术的发展，越来越多的人开始关注与研究应用层面的安全性和健壮性问题。而对于安全敏感的企业级应用软件来说，提升代码质量、减少安全风险，也是当务之急。如何检测并快速定位潜在安全漏洞、优化代码结构，确保应用安全无忧是这个领域的重中之重。 代码审计是目前最有效的检测和定位安全漏洞的方式之一。

[De1CTF 2019]SSRF Me 1——python代码审计

m0_62879498的博客

05-09

635

[De1CTF 2019]SSRF Me 1 #! /usr/bin/env python #encoding=utf-8 from flask import Flask from flask import request import socket import hashlib import urllib import sys import os import json reload(sys) sys.setdefaultencoding('latin1') app = Flask(__name__)

python代码审计-osroom

SecINAdmin的博客

12-03

367

原文来自SecIN社区—作者：misakikata osroom 这个cms很有意思，从漏洞和程序的写法上，很适合用来入门学习，漏洞的一些形式相比来说，也比较多一点。 RCE apps\utils\format\obj_format.py 如下，文件中采用了eval来转换字符串对象，当json.loads转换失败的时候，则直接使用eval来转换。 def json_to_pyseq(tjson): """ json to python sequencer :param json:

《Python代码审计》（1）一款超好用的代码扫描工具

午夜安全

12-16

2333

从本文开始，我将开始介绍Python源代码审计，代码审计是检查源代码中的安全缺陷，检查源代码是否存在安全隐患，或者编码不规范的地方。通常使用自动化工具或者人工审查的方式，自动化工具效率高，但是误报率也高，并且发现的问题不够深入、全面；人工审查的方式可以全面深入的发现源代码中的安全缺陷，缺点是耗时较长。

python 代码审计

09-14

Python代码审计是一种对Python代码进行安全性分析的过程。通过对Python代码进行审查，可以发现其中的潜在安全漏洞和风险，并提供相应的修复建议。Python代码审计可以帮助安全从业者和Python开发者确保系统的安全性、...