首页 / PYTHON / python – 使用os.path.abspath验证不受信任的文件名的位置是否安全？

python – 使用os.path.abspath验证不受信任的文件名的位置是否安全？

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了python – 使用os.path.abspath验证不受信任的文件名的位置是否安全？，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含787字，纯文字阅读大概需要2分钟。

内容图文

我不认为我错过任何东西.然后我又是一个新手.

def GET(self, filename):
    name = urllib.unquote(filename)
    full = path.abspath(path.join(STATIC_PATH, filename))
    #Make sure request is not tricksy and tries to get out of
    #the directory, e.g. filename = "../.ssh/id_rsa". GET OUTTA HERE
    assert full[:len(STATIC_PATH)] == STATIC_PATH, "bad path"
    return open(full).read()

编辑：
我意识到如果文件不存在(至少在web.py下),这将返回错误的HTTP错误代码.我会解决这个问题.

解决方法:

os.path.abspath本身就很安全.如果在python -O下运行,你的断言检查将被编译掉,这是一个风险.如果您的STATIC_PATH没有以正确的目录分隔符结束,您可能会意外地允许一个恰好将其作为前缀的路径 – 例如,如果STATIC_PATH是/ foo / bar,您将错误地接受生活在/ foo下的文件/ barbie /(因此,除非STATIC_PATH以分隔符结尾,否则您需要稍微更严格的检查以获得强有力的保证).

内容总结

以上是互联网集市为您收集整理的python – 使用os.path.abspath验证不受信任的文件名的位置是否安全？全部内容，希望文章能够帮你解决python – 使用os.path.abspath验证不受信任的文件名的位置是否安全？所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/741225.html

来源：【匿名】