Sicurezza di eval di Python() su stringhe non attendibili?

Question

Se Sto valutando una stringa Python usando eval(), e ho una classe come:

class Foo(object): 
    a = 3 
    def bar(self, x): return x + a 

Quali sono i rischi per la sicurezza, se non mi fido della stringa? In particolare:

1. È eval(string, {"f": Foo()}, {}) pericoloso? Cioè, puoi raggiungere os o sys o qualcosa di non sicuro da un'istanza di Foo?
2. È eval(string, {}, {}) pericoloso? Cioè, posso raggiungere os o sys interamente da builtin come len e list?
3. C'è un modo per rendere i build non presenti affatto nel contesto di valutazione?

Ci sono alcune stringhe non sicure come "[0] * 100000000" Non mi interessa, perché nel peggiore dei casi rallentano/fermano il programma. Sono principalmente preoccupato di proteggere i dati utente esterni al programma.

Ovviamente, eval(string) senza dizionari personalizzati non è sicuro nella maggior parte dei casi.

Answer 1

Non è possibile proteggere eval con un approccio blacklist come questo. Vedi Eval really is dangerous per esempi di input che segfault l'interprete CPython, danno accesso a qualsiasi classe che ti piace e così via.

Answer 2

eval() consentirà ai dati dannosi di compromettere l'intero sistema, uccidere il gatto, mangiare il cane e fare l'amore con tua moglie.

Recentemente c'è stato un thread su come fare questo genere di cose in modo sicuro sulla lista python-dev, e le conclusioni sono state:

• E 'davvero difficile farlo correttamente.
• Richiede patch all'interprete python per bloccare molte classi di attacchi.
• Non farlo a meno che non lo desideri.

Inizia da qui per leggere la sfida: http://tav.espians.com/a-challenge-to-break-python-security.html

Quale situazione vuoi utilizzare eval() in? Vuoi che un utente sia in grado di eseguire espressioni arbitrarie? O vuoi trasferire i dati in qualche modo? Forse è possibile bloccare l'input in qualche modo.

Answer 3

si sono probabilmente meglio girare intorno alla questione:

1. Che tipo di espressioni Sei voler eval?
2. Puoi assicurare che solo le stringhe che corrispondono ad una sintassi definita in modo preciso sono eval() d?
3. Quindi considerare se che è sicuro.

Per esempio, se si vogliono consentire all'utente di inserire un'espressione algebrica per la valutazione, considerare limitandoli a nomi di una lettera di variabili, numeri e una serie specifica di operatori e funzioni. Non utilizzare le stringhe eval() che contengono qualcos'altro.

Answer 4

Si noti che anche se si passano dizionari vuoti a eval(), è ancora possibile segfault (C) Python con alcuni trucchi di sintassi.Ad esempio, prova questo sul tuo interprete: eval("()"*8**5)

Answer 5

È possibile ottenere os utilizzando le funzioni incorporate: __import__('os').

Per python 2.6+, il ast module può essere d'aiuto; in particolare ast.literal_eval, anche se dipende esattamente da ciò che si desidera valutare.

Answer 6

C'è un ottimo article on the un-safety of eval() nel tutorial di Mark Pilgrim Dive into Python.

Citato da questo articolo:

Alla fine, è possibile in modo sicuro valutare espressioni Python non attendibili, per qualche definizione di “sicuro” che risulta non essere terribilmente utile in reale vita. Va bene se stai solo giocando allo , e va bene se tu, , passi solo input fidati. Ma altro sta solo chiedendo il problema .