使用 exec 函数时需要注意的一些安全问题

389 查看

众所周知，在 python 中可以使用 exec 函数来执行包含 python 源代码的字符串:

>>> code = '''

...: a = "hello"

...: print(a)

...: '''

>>> exec(code)

hello

>>> a

'hello'

exec 函数的这个功能很是强大，慎用。如果一定要用的话，那么就需要注意一下下面这些安全相关的问题。

全局变量和内置函数

在 exec 执行的代码中，默认可以访问执行 exec 时的局部变量和全局变量，同样也会修改全局变量。如果 exec 执行的代码是根据用户提交的数据生产的话，这种默认行为就是一个安全隐患。

如何更改这种默认行为呢？可以通过执行 exec 函数的时候再传两个参数的方式来修改这种行为（详见之前关于 exec 的文章）:

>>> g = {}

>>> l = {'b': 'world'}

>>> exec('hello = "hello" + b', g, l)

>>> l

{'b': 'world', 'hello': 'helloworld'}

>>> g

{'__builtins__': {...}}

>>> hello

---------------------------------------------------------------------------

NameError Traceback (most recent call last)

...

NameError: name 'hello' is not defined

如果要限制使用内置函数的话，可以在 globals 参数中定义一下 __builtins__ 这个 key:

>>> g = {}

>>> l = {}

>>> exec('a = int("1")', g, l)

>>> l

{'a': 1}

>>> g = {'__builtins__': {}}

>>> exec('a = int("1")', g, l)

Traceback (most recent call last):

File "<stdin>", line 1, in <module>

File "<string>", line 1, in <module>

NameError: name 'int' is not defined

>>>

现在我们限制了访问和修改全局变量以及使用内置函数，难道这样就万事大吉了吗？然而并非如此，还是可以通过其他的方式来获取内置函数甚至 os.system 函数。

另辟蹊径获取内置函数和 os.system

通过函数对象:

>>> def a(): pass

...

>>> a.__globals__['__builtins__']

>>> a.__globals__['__builtins__'].open

<built-in function open>

通过内置类型对象:

>>> for cls in {}.__class__.__base__.__subclasses__():

... if cls.__name__ == 'WarningMessage':

... b = cls.__init__.__globals__['__builtins__']

... b['open']

...

<built-in function open>

>>>

获取 os.system:

>>> cls = [x for x in [].__class__.__base__.__subclasses__() if x.__name__ == '_wrap_close'][0]

>>> cls.__init__.__globals__['path'].os

>>>

对于这两种办法又如何应对呢？一种办法就是禁止访问以 _ 开头的属性：

如果可以控制 code 的生成，那么就在生成 code 的时候判断
~~如果不能的话，可以通过 dis 模块分析生成的 code:~~ （dist 无法分析嵌套函数的代码，正在查找更安全的办法）

我所知道的使用 exec 函数时需要注意的安全问题就是这些了。如果你还知道其他需要注意的安全问题的话，欢迎留言告知。