पायथन पिक असुरक्षा को समझना

Question

यह पायथन दस्तावेज़ में बताता है कि pickle सुरक्षित नहीं है और अविश्वसनीय उपयोगकर्ता इनपुट का विश्लेषण नहीं करना चाहिए। यदि आप इसका शोध करते हैं; लगभग सभी उदाहरण os.system के माध्यम से कॉल के साथ इसका प्रदर्शन करते हैं।

मुझे स्पष्ट नहीं है, os.system को os मॉड्यूल आयात किए बिना सही तरीके से व्याख्या किया गया है।

>>> import pickle 
>>> pickle.loads("cos\nsystem\n(S'ls /'\ntR.") # This clearly works. 
bin boot cgroup dev etc home lib lib64 lost+found media mnt opt proc root run sbin selinux srv sys tmp usr var 
0 
>>> dir() # no os module 
['__builtins__', '__doc__', '__name__', '__package__', 'pickle'] 
>>> os.system('ls /') 
Traceback (most recent call last): 
    File "<stdin>", line 1, in <module> 
NameError: name 'os' is not defined 
>>> 

कोई व्याख्या कर सकते हैं?

Answer 1

मॉड्यूल (os) के नाम opcode का हिस्सा है, और pickle स्वचालित रूप से मॉड्यूल का आयात करता है:

# pickle.py 
def find_class(self, module, name): 
    # Subclasses may override this 
    __import__(module) 
    mod = sys.modules[module] 
    klass = getattr(mod, name) 
    return klass 

नोट __import__(module) लाइन।

फ़ंक्शन को तब कहा जाता है जब GLOBAL 'os system' अचार बाइटकोड निर्देश निष्पादित किया जाता है।

कक्षाओं के उन उदाहरणों को अनपिक करने में सक्षम होने के लिए यह तंत्र आवश्यक है जिनके मॉड्यूल को कॉलर के नामस्थान में स्पष्ट रूप से आयात नहीं किया गया है। ।

Answer 2

एक मॉड्यूल आयात कर रहा है केवल स्थानीय नाम स्थान, एक में लिप्त हों जो जरूरी नहीं है में शामिल करता है जब यह नहीं है सिवाय:

>>> dir() 
['__builtins__', '__doc__', '__name__', '__package__'] 
>>> __import__('os') 
<module 'os' from '/usr/lib64/python2.7/os.pyc'> 
>>> dir() 
['__builtins__', '__doc__', '__name__', '__package__'] 

Answer 3

आप डिसअसेंबल करने pickletools.dis का उपयोग करते हैं अचार आप देख सकते हैं कि यह कैसे काम कर रहा है:

import pickletools 
print pickletools.dis("cos\nsystem\n(S'ls ~'\ntR.") 

आउटपुट:

0: c GLOBAL  'os system' 
11: ( MARK 
12: S  STRING  'ls ~' 
20: t  TUPLE  (MARK at 11) 
21: R REDUCE 
22: . STOP 

अचार एक साधारण स्टैक-आधारित वर्चुअल मशीन का उपयोग करता है जो ऑब्जेक्ट को पुनर्निर्माण के लिए उपयोग किए गए निर्देशों को रिकॉर्ड करता है। दूसरे शब्दों में अपने उदाहरण में अचार निर्देश हैं:

पुश self.find_class (MODULE_NAME, CLASS_NAME) यानी धक्का os.system सर्वोच्च ढेर मदों से स्ट्रिंग 'ls ~' टपल बिल्ड पुश argtuple लिए प्रतिदेय लागू करें, दोनों ढेर पर। इस presentation यानी os.system (* ('ls ~',))

Source

Answer 4

दुर्भावनापूर्ण अचार कि मानक os.system() उदाहरण की तुलना में बहुत आगे जाना लिखने पर पूरी तरह बहुत ज्यादा जानकारी के लिए, और इसके साथ paper।