Безопасность eval() на Python на ненадежных строках?

Question

Если я оценка строки Python с помощью Eval(), и есть класс, как:

class Foo(object): 
    a = 3 
    def bar(self, x): return x + a 

Каковы риски безопасности, если я не доверяю строке? В частности:

1. eval(string, {"f": Foo()}, {}) небезопасный? То есть вы можете достичь os или sys или что-то небезопасное из экземпляра Foo?
2. eval(string, {}, {}) небезопасный? То есть, могу ли я достичь os или sys полностью из встроенных функций, таких как len и list?
3. Есть ли способ заставить встроенные компоненты вообще не присутствовать в контексте eval?

Есть некоторые небезопасные строки типа «[0] * 100000000« Меня не волнует, потому что в худшем случае они замедляют/останавливают программу. Я в первую очередь обеспокоен защитой пользовательских данных, внешних по отношению к программе.

Очевидно, eval(string) без специальных словарей в большинстве случаев является небезопасным.

Answer 1

Вы не можете защитить eval с таким подходом черного списка. См. Eval really is dangerous для примеров ввода, которые будут segfault интерпретатора CPython, предоставить доступ к любому классу, который вам нравится, и так далее.

Answer 2

eval() позволит вредоносным данным скомпрометировать всю вашу систему, убить вашу кошку, съесть свою собаку и заняться любовью с вашей женой.

Был недавно нить о том, как сделать этот вид вещи благополучно в списке питон-Дев, и выводы были:

• Это очень трудно сделать это правильно.
• Он требует исправлений для интерпретатора python для блокировки многих классов атак.
• Не делайте этого, если вы действительно этого не хотите.

Начало здесь, чтобы прочитать о проблеме: http://tav.espians.com/a-challenge-to-break-python-security.html

Какая ситуация вы хотите использовать Eval() в? Вы хотите, чтобы пользователь мог выполнять произвольные выражения? Или вы хотите каким-то образом передать данные? Возможно, можно каким-то образом заблокировать вход.

Answer 3

Вы, вероятно, лучше поворачивать вопрос вокруг:

1. Какие выражения ты хотел Eval?
2. Можете ли вы гарантировать, что только строки, соответствующие узко определенному синтаксису, являются eval() d?
3. Затем рассмотрите, если , что безопасен.

Например, если вы хотите, чтобы пользователь вводил алгебраическое выражение для оценки, подумайте о том, чтобы ограничить их именами переменных, номерами и конкретным набором операторов и функций. Не используйте строки eval(), содержащие что-либо еще.

Answer 4

Обратите внимание, что даже если вы передадите пустые словари в eval(), все еще можно использовать segfault (C) Python с некоторыми трюками синтаксиса.Например, попробуйте это у вашего переводчика: eval("()"*8**5)

Answer 5

Вы можете добраться до os, используя встроенные функции: __import__('os').

Для python 2.6+ может помочь ast module; в частности ast.literal_eval, хотя это зависит от того, что вы хотите оценить.

Answer 6

В учебном пособии Марка Пилгрима Dive into Python есть очень хорошее article on the un-safety of eval().

Цитируется по статье:

В конце концов, можно смело оценить ненадежные выражения Python, для некоторого определения «безопасного», что оказывается не быть очень полезными в реальном жизнь. Это нормально, если вы просто играете , и это нормально, если вы только когда-либо передавали ему надежный вход. Но что-нибудь еще просто просит проблема.