Python 模板引擎的注入問題分析
這幾年比較火的一個(gè)漏洞就是jinjia2之類的模板引擎的注入，通過注入模板引擎的一些特定的指令格式，比如 {{1+1}} 而返回了 2 得知漏洞存在。實(shí)際類似的問題在Python原生字符串中就存在，尤其是Python 3.6新增 f 字符串后，雖然利用還不明確，但是應(yīng)該引起注意。
最原始的 %
userdata = {"user" : "jdoe", "password" : "secret" }
passwd = raw_input("Password: ")
if passwd != userdata["password"]:
print ("Password " + passwd + " is wrong for user %(user)s") % userdata
如果用戶輸入 %(password)s 那就可以獲取用戶的真實(shí)密碼了。
format方法相關(guān)
https://docs.python.org/3/library/functions.html#format
除了上面的payload改寫為 print ("Password " + passwd + " is wrong for user {user}").format(**userdata) 之外，還可以
>>> import os
>>> '{0.system}'.format(os)
'<built-in function system>'
會(huì)先把 0 替換為 format 中的參數(shù)，然后繼續(xù)獲取相關(guān)的屬性。
但是貌似只能獲取屬性，不能執(zhí)行方法？但是也可以獲取一些敏感信息了。
例子: http://lucumr.pocoo.org/2016/12/29/careful-with-str-format/
CONFIG = {
'SECRET_KEY': 'super secret key'
}
class Event(object):
def __init__(self, id, level, message):
self.id = id
self.level = level
self.message = message
def format_event(format_string, event):
return format_string.format(event=event)
如果 format_string 為 {event.__init__.__globals__[CONFIG][SECRET_KEY]} 就可以泄露敏感信息。
Python 3.6中的 f 字符串
這個(gè)字符串非常厲害，和Javascript ES6中的模板字符串類似，有了獲取當(dāng)前context下變量的能力。
https://docs.python.org/3/reference/lexical_analysis.html#f-strings
>>> a = "Hello"
>>> b = f"{a} World"
>>> b
'Hello World'
而且不僅僅限制為屬性了，代碼可以執(zhí)行了。
>>> import os
>>> f"{os.system('ls')}"
bin etc lib media proc run srv tmp var
dev home linuxrc mnt root sbin sys usr
'0'
>>> f"{(lambda x: x - 10)(100)}"
'90'
但是貌似 沒有 把一個(gè)普通字符串轉(zhuǎn)換為 f 字符串的方法，也就是說用戶很可能無法控制一個(gè) f 字符串，可能無法利用，還需要繼續(xù)查一下。
相關(guān)文章
pytorch中的torch.nn.Conv2d()函數(shù)圖文詳解
這篇文章主要給大家介紹了關(guān)于pytorch中torch.nn.Conv2d()函數(shù)的相關(guān)資料,文中通過實(shí)例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2022-02-02
解決django同步數(shù)據(jù)庫的時(shí)候app models表沒有成功創(chuàng)建的問題
今天小編就為大家分享一篇解決django同步數(shù)據(jù)庫的時(shí)候app models表沒有成功創(chuàng)建的問題，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過來看看吧2019-08-08
python使用itchat模塊給心愛的人每天發(fā)天氣預(yù)報(bào)
這篇文章主要介紹了python使用itchat模塊給心愛的人每天發(fā)天氣預(yù)報(bào)，文中示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2019-11-11
flask + pymysql操作Mysql數(shù)據(jù)庫的實(shí)例
下面小編就為大家?guī)硪黄猣lask + pymysql操作Mysql數(shù)據(jù)庫的實(shí)例。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2017-11-11
基于Python+Pyqt5開發(fā)一個(gè)應(yīng)用程序
今天給大家?guī)淼氖顷P(guān)于Python的相關(guān)知識(shí)，文章圍繞著Python+Pyqt5開發(fā)一個(gè)應(yīng)用程序展開,文中有非常詳細(xì)的介紹及代碼示例,需要的朋友可以參考下2021-06-06
這篇文章主要介紹了Django進(jìn)階之CSRF的解決，小編覺得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2018-08-08
這篇文章主要為大家詳細(xì)介紹了python實(shí)現(xiàn)爬取圖書封面的方法，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2018-07-07
Python3 queue隊(duì)列模塊詳細(xì)介紹
queue是python中的標(biāo)準(zhǔn)庫，俗稱隊(duì)列。這篇文章給大家介紹了Python3 queue隊(duì)列模塊，包括模塊中的常用方法及構(gòu)造函數(shù)，需要的朋友參考下吧2018-01-01
python PyQt5/Pyside2 按鈕右擊菜單實(shí)例代碼
本文通過實(shí)例代碼給大家介紹了python PyQt5/Pyside2 按鈕右擊菜單，代碼簡(jiǎn)單易懂，非常不錯(cuò)，具有一定的參考借鑒價(jià)值，需要的朋友參考下吧2019-08-08
這篇文章主要為大家介紹了python進(jìn)階之魔術(shù)方法，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下，希望能夠給你帶來幫助2022-01-01