你不得不知道的10个最危险的Python函数

off999 2025-06-10 00:33 79 浏览 0 评论

在Python中，某些函数如果使用不当，可能导致 安全漏洞、数据损坏、系统崩溃 甚至 远程代码执行（RCE）。以下是 10个最危险的Python函数，开发者必须谨慎使用：

1.eval()与exec()

危险等级: (最高)
风险: 任意代码执行

user_input = "os.system('rm -rf /')"  # 恶意输入
eval(user_input)  # 直接删除系统文件！

安全替代方案:

# 使用字典或JSON解析可控数据
import ast
safe_data = ast.literal_eval('{"key": "value"}')  # 仅解析基本数据结构

2.pickle反序列化

危险等级:
风险: 反序列化恶意对象导致RCE

import pickle
malicious_data = b"\x80\x04\x95...\x94."  # 构造的恶意pickle数据
pickle.loads(malicious_data)  # 触发任意代码执行

安全替代方案:

import json 
safe_data = json.loads('{"key": "value"}') # 仅处理JSON数据

3.os.system()/subprocess.run(shell=True)

危险等级:
风险: 命令注入

filename = input("文件名: ")  # 用户输入: 'test.txt; rm -rf /'
os.system(f"cat {filename}")  # 执行了删除命令！

安全替代方案:

import subprocess
subprocess.run(["cat", filename], shell=False)  # 参数列表形式

4.marshal模块

危险等级:
风险: 与pickle类似，但设计用于Python字节码，更危险

import marshal
malicious_code = compile("os.system('rm -rf /')", "<string>", "exec")
marshal.dumps(malicious_code)  # 可被反序列化执行

永远不要反序列化不可信的marshal数据！

5.yaml.load()

危险等级:
风险: YAML反序列化漏洞（PyYAML）

import yaml
malicious_yaml = "!!python/object/apply:os.system ['rm -rf /']"
yaml.load(malicious_yaml)  # 执行系统命令

安全替代方案:

yaml.safe_load("{key: value}") # 仅解析简单数据结构

6.tempfile.mktemp()

危险等级:
风险: 竞争条件漏洞（TOCTOU）

import tempfile
temp_path = tempfile.mktemp()  # 不安全：文件名可能被劫持
with open(temp_path, 'w') as f:  # 攻击者可在此间隙创建同名文件
    f.write("data")

安全替代方案:

with tempfile.NamedTemporaryFile(delete=True) as f:  # 自动处理文件句柄
    f.write(b"data")

7.shutil.rmtree()

危险等级:
风险: 误删关键目录

安全实践:

import send2trash  # 第三方库
send2trash.send2trash("/home/user/data")  # 先放回收站

8.glob模块（路径遍历）

危险等级:
风险: 路径注入

import glob
user_input = "../../*"  # 恶意输入
files = glob.glob(f"/data/{user_input}")  # 访问上级目录

安全防护:

import os
user_input = os.path.basename(input())  # 过滤路径
files = glob.glob(f"/data/{user_input}")

9.sys.setprofile()/sys.settrace()

危险等级:
风险: 破坏调试器或注入代码

import sys
def malicious_trace(frame, event, arg):
    os.system("rm -rf /")  # 跟踪时执行恶意代码
sys.settrace(malicious_trace)

仅用于可信的调试场景！

10.ctypes调用系统API

危险等级:
风险: 直接操作内存或系统调用

from ctypes import *
libc = CDLL("libc.so.6")
libc.system(b"rm -rf /")  # 直接调用系统命令

必须进行严格的输入验证！

安全防护黄金法则

永远不要信任用户输入：所有输入必须验证、过滤
最小权限原则：使用低权限账户运行Python
沙箱环境：敏感操作在容器或虚拟机中执行
依赖检查：定期审计第三方库（如pip-audit）

# 安全编程模板示例
import ast
import json

def safe_eval(input_str):
    try:
        return ast.literal_eval(input_str)  # 仅允许字面量
    except (ValueError, SyntaxError):
        return None

user_data = safe_eval('{"key": "value"}')  # 安全方式

python吧