Funciones explotables de Python

Question

Esta pregunta es similar a Exploitable PHP Functions.

Los datos corruptos provienen del usuario, o más específicamente de un atacante. Cuando una variable contaminada alcanza una función de sumidero, entonces usted tiene una vulnerabilidad. Por ejemplo, una función que ejecuta una consulta SQL es un receptor, y las variables GET/POST son fuentes de contaminación.

¿Cuáles son todas las funciones de receptor en Python? Estoy buscando funciones que introduzcan una vulnerabilidad o software weakness. Estoy particularmente interesado en las vulnerabilidades de ejecución remota de código. ¿Hay clases/módulos completos que contienen funcionalmente peligrosos? ¿Tienes algún ejemplo de vulnerabilidades de Python interesantes?

Answer 1

El módulo subprocess contiene funcionalmente desagradable, que desaprueba estas formas de ejecución de comandos/procesos:

os.system 
os.spawn* 
os.popen* 
popen2.* 
commands.* 

También hay exec que ejecutar código python y eval que "evaluar" una expresión y se puede utilizar para manipular variables

Answer 2

eval y exec son los clásicos. Sin embargo, open y file se puede abusar demasiado:

open('/proc/kcore', 'w').write('0' * 1000 * 1000 * 1000) 

Luego están los os, sys, subprocess y dircache módulos. Prácticamente todo lo que toca el sistema de archivos o puede usarse para convertir datos en código ejecutable (como os.system) va a estar en la lista.

Como señaló S. Lott en los comentarios, escribir en el sistema de archivos y ejecutar programas externos arbitrarios no son específicos de Python. Sin embargo, merecen la consideración de los auditores de seguridad. La mayoría de estas funciones se pueden usar de forma segura sin preocuparse demasiado por la seguridad. eval y exec, por otro lado, son grandes grandes banderas rojas. Usarlos de forma segura requiere un cuidado meticuloso.

Answer 3

derecha desde la documentación pickle:

Warning 

The pickle module is not intended to be secure against erroneous or maliciously constructed data. Never unpickle data received from an untrusted or unauthenticated source. 

Answer 4

La función input, que evalúa la cadena dada y devuelve el resultado, tiene algunas restricciones, pero todavía puede ser objeto de explotación.

Answer 5

Tiendo hacia el paranoico cuando busco este tipo de cosas. Más aún porque tiendo a hacer muchas metaprogramaciones.

• comandos de efectos secundarios más (que cubren otras publicaciones)
  • de manipulación de archivos (open, tarfile, zipfile, ...)
  • llamadas de red (urllib2, socket, ...)
  • serialización/persistencia de datos (pickle, shelve, ...)
  • proceso/gestión de hilos (subprocess, os.fork, os.kill, ...)
• builtins
  • getattr
  • setattr
  • delattr
  • eval
  • exec
  • execfile
  • __import__

Y probablemente otros que estoy olvidando. También soy cauteloso con la entrada del usuario que pasa por las funciones en las que estoy modificando sys.path, sys.modules, etc.