"LandGrey" 的文章

命令执行与代码执行的判断

作者: LandGrey ●   创建时间: 2017年5月18日 13:28 ●   标签:   #网络安全,   #思考

一. 判别理念 参考OWASP的 代码注入和命令注入,其中的相关解释: Code Injection differs from Command Injection in that an attacker is only limited by the functionality of the injected language itself. 可以用下面一句话判断是代码执行还是命令执行 执行效果是否受制于语言本身与其安全机制 代码执行: 1. 执行的效果完全受限于语言本身 只能执行当前语言的相关语法,不能达到执行系统命令的程度 2. 执行的效果不完全受限于语言本身 可执行当前语言的相关语法,可达到执行系统命令的程度,但可能受制于语言安全特性本身,得不到正常执行 命令执行: 1. 执行的效果不受限于语言语法本身,不受命令本身限制 不能执行当前语言的相关语法,仅能达到间接执行系统命令; 可执行当前代码语言的相关语法,可达到间接执行系统命令的程度,不会受制于语言安全特性本身。 二. 实例 1. Python反序列化漏洞 Python Pickle反序列化带来的安全问题有如下一段关于python pickle反序列化操作的示例代码: import osimport pickleclass A(object): ...

更多 →

Django安全编码与实践分享

作者: LandGrey ●   创建时间: 2017年5月17日 17:02 ●   标签:   #分享,   #python,   #django

主要分享关于 Django安全编码与实践 的文章,已经压缩成图片,方便查看。附件1: Django 安全最佳实践.png原文链接: Django 安全最佳实践附件2: 从Pwnhub诞生聊Django安全编码.png原文连接: 从Pwnhub诞生聊Django安全编码附件3: Python安全编码指南.png原文链接: Python安全编码指南

更多 →
<