Python之eval()函数危险性浅析

程序员文章站 2022-05-31 16:10:08

...

一般来说Python的eval()函数可以把字符串“123”变成数字类型的123，但是PP3E上说它很危险，还可以执行其他命令！

对此进行一些试验。果然，如果python写的cgi程序中如果使用eval()而非int()来转换诸如年龄这样的输入框中的内容时是非常危险的。不仅可以看见列出系统的全部文件，还可以执行删除文件，察看文件源代码等危险操作！

试着写了个程序，想把本地的脚本文件同过这样的形式一行一行的写到服务器的某个文件里，可最后失败在无法输入换行符"/n"，在提交的语句里只要有换行符，就会出现EOL的出错提示，换了编码方式还是没能成功。

网页里有一个提交名字的窗口，这里只是以改它为例，否则名字是不会用eval函数转换的，不过年龄到是很容易出问题。这个文件（http://localhost/tutor4.html）导入了os。

line1 = "Hello, %s." % eval(form['user'].value)

（1）

os.system('del * /q') #删除当前目录下所有文件（不包括文件夹）。

os.system调用当前系统的命令（如windows）

/q
指定强制状态。不提示您确认删除。

（2）若删除文件夹，使用rmdir

/s
删除指定目录和所有子目录以及包含的所有文件。使用 /s 来删除目录树。

/q
在安静模式中运行 rmdir。不经确认即删除目录。

os.system('rmdir d:/workspace /s/q')

（3）列出所有文件os.system('dir')。因为成功执行了dir命令后，系统返回0，所以看到的返回内容只能是Hello,0.而在服务器上，倒是真的列出来了，如果有日志，可能被发现。提交os.system('dir >dir.txt')，那么访问http://localhost/dir.txt那么所有的文件和文件夹都暴露了，想看源代码吗？如果再使用os.system('type target.py').命令如果成功完成同样会返回Hello, 0.的。难道再放进一个文件，再访问那个文件吗？open('target.py').read()

由此，可以在列出和察看其他文件夹里面的内容了。

如果没干别的坏事，那么可删除dir.txt以免被人发现了。os.system('del dir.txt /q')

导入os并执行命令：