這是一個安全使用python eval（）嗎？

Question

如果攻擊者可以控制值attacker_controlled_nasty_variable，這段代碼是否易受攻擊？

dic={"one":1, 
     "nasty":attacker_controlled_nasty_variable, 
    } 
store=str(dict) 
... 
dic=eval(store) 

Answer 1

使用ast.literal_eval()而不是eval()。

Answer 2

是的。它可以用具有__repr__()方法的對象替換，該方法要麼有一個有效載荷本身，要麼返回一個字符串，當傳遞到eval()時可能不安全。

概念證明：

class MyClass(object): 
    def __repr__(self): 
    return 'os.system("format c:")' 

bad = [MyClass()] 
print str(bad) 

Answer 3

它是安全的，只要你可以肯定的是attacker_controlled_nasty_variable是從來沒有的對象，其中的攻擊者可以控制__repr__（或__str__），因爲他本來注入Python代碼。

但是，最好使用repr(dic)而不是str(dic)，因爲只有repr預計會返回有效的python代碼。

另外 - 由@payne提到 - 使用更安全的替代ast.literal_eval()的eval()。

Answer 4

讓我們試一下：

>>> attacker_controlled_nasty_variable="`cat /etc/passwd`" 
>>> dic={"one":1, 
...  "nasty":attacker_controlled_nasty_variable, 
... } 
>>> store = repr(dic) 
>>> store 
"{'nasty': '`cat /etc/passwd`', 'one': 1}" 
>>> dic=eval(store) 
>>> dic 
{'nasty': '`cat /etc/passwd`', 'one': 1} 

>>> attacker_controlled_nasty_variable="'hello',}" 
>>> dic={"one":1, 
...  "nasty":attacker_controlled_nasty_variable, 
... } 
>>> repr(dic) 
'{\'nasty\': "\'hello\',}", \'one\': 1}' 
>>> eval(repr(dic)) 
{'nasty': "'hello',}", 'one': 1} 

你可能想嘗試更多案件，但根據經驗，它看起來像__repr__被正確引用內容。