Nsdd

A personal wiki, chronicling hacking, data, and AI learning.

Sec Coding - Python

2023-01-15

[TOC]

通用类

I. 代码实现

1.1 加密算法

1.1.1【必须】避免使用不安全的哈希算法

1.2 程序日志

1.2.1 【建议】对每个重要行为都记录日志

1.2.2 【建议】禁止将未经验证的用户输入直接记录日志

1.2.3 【建议】避免在日志中保存敏感信息

1.3 系统口令

1.3.1【必须】禁止使用空口令、弱口令、已泄露口令

1.3.2 【必须】口令强度要求

口令强度须同时满足：

  1. 密码长度大于14位
  2. 必须包含下列元素：大小写英文字母、数字、特殊字符
  3. 不得使用各系统、程序的默认初始密码
  4. 不能与最近6次使用过的密码重复
  5. 不得与其他外部系统（如京东、淘宝等）使用相同的密码

1.3.3 【必须】口令存储安全

1.3.4【必须】禁止传递明文口令

1.3.5 【必须】禁止在不安全的信道中传输口令

II. 配置&环境

2.1 Python版本选择

2.1.1【建议】使用Python 3.6+的版本

为什么要这么做？ 由于 Python 2 在 2020 年停止维护，相关组件的漏洞不能得到及时修复与维护

2.2 第三方包安全

2.2.2 【必须】禁止使用不安全的组件

2.2.1 【建议】使官方软件源安装组件

# 配置官方pypi源
vi ~/.pip/pip.conf
# 输入以下内容
[global]
trusted-host = mirrors.cloud.tencent.com
index-url = https://mirrors.cloud.tencent.com/pypi/simple

2.3 配置信息

2.3.1 【必须】密钥存储安全

2.3.2【必须】禁止硬编码敏感配置

后台类

I. 代码实现

1.1 输入验证

1.1.1【必须】按类型进行数据校验

# Cerberus示例
v = Validator({'name': {'type': 'string'}})
v.validate({'name': 'john doe'})

# jsonschema示例
schema = {
     "type" : "object",
     "properties" : {
         "price" : {"type" : "number"},
         "name" : {"type" : "string"},
     },
}

validate(instance={"name" : "Eggs", "price" : 34.99}, schema=schema)

1.2 SQL操作

1.2.1 【必须】使用参数化查询

# 错误示例
import mysql.connector

mydb = mysql.connector.connect(
... ...
)

cur = mydb.cursor()
userid = get_id_from_user()
# 使用%直接格式化字符串拼接SQL语句
cur.execute("SELECT `id`, `password` FROM `auth_user` WHERE `id`=%s " % (userid,)) 
myresult = cur.fetchall()

# 安全示例
import mysql.connector

mydb = mysql.connector.connect(
... ...
)
cur = mydb.cursor()
userid = get_id_from_user()
# 将元组以参数的形式传入
cur.execute("SELECT `id`, `password` FROM `auth_user` WHERE `id`=%s " , (userid,))
myresult = cur.fetchall()

# 安装sqlalchemy并初始化数据库连接
# pip install sqlalchemy
from sqlalchemy import create_engine
# 初始化数据库连接，修改为你的数据库用户名和密码（此处的鉴权信息，请参照本规范"通用类2.3.2"小节进行处理）
engine = create_engine('mysql+mysqlconnector://user:password@host:port/DATABASE')

# 引用数据类型
from sqlalchemy import Column, String, Integer, Float
from sqlalchemy.ext.declarative import declarative_base

Base = declarative_base()
# 定义 Player 对象:
class Player(Base):
    # 表的名字:
    __tablename__ = 'player'

    # 表的结构:
    player_id = Column(Integer, primary_key=True, autoincrement=True)
    team_id = Column(Integer)
    player_name = Column(String(255))
    height = Column(Float(3, 2))

# 增删改查
from sqlalchemy.orm import sessionmaker
# 创建 DBSession 类型:
DBSession = sessionmaker(bind=engine)
# 创建 session 对象:
session = DBSession()

# 增:
new_player = Player(team_id=101, player_name="Tom", height=1.98)
session.add(new_player)
# 删:
row = session.query(Player).filter(Player.player_name=="Tom").first()
session.delete(row)
# 改:
row = session.query(Player).filter(Player.player_name=="Tom").first()
row.height = 1.99
# 查:
rows = session.query(Player).filter(Player.height >= 1.88).all()

# 提交即保存到数据库:
session.commit()
# 关闭 session:
session.close()

1.2.2 【必须】对参数进行过滤

def sql_filter(sql, max_length=20):
    dirty_stuff = ["\"", "\\", "/", "*", "'", "=", "-", "#", ";", "<", ">", "+", 
                   "&", "$", "(", ")", "%", "@", ","]
    for stuff in dirty_stuff:
        sql = sql.replace(stuff, "x")
    return sql[:max_length]

1.3 执行命令

1.3.1【建议】避免直接调用函数执行系统命令

注意 CSIG、IEG、PCG禁止对外提供此类功能。

1.3.2【必须】过滤传入命令执行函数的字符

import os
import sys
import shlex

domain = sys.argv[1]
# 替换可以用来注入命令的字符为空
badchars = "\n&;|'\"$()`-"
for char in badchars:
    domain = domain.replace(char, " ")

result = os.system("nslookup " + shlex.quote(domain))

1.3.3 【必须】禁止不安全的代码执行

1.4 文件操作

1.4.1【必须】文件类型限制

import os
  
ALLOWED_EXTENSIONS = ['txt','jpg','png']
  
def allowed_file(filename):
    if ('.' in filename and 
        '..' not in filename and 
        os.path.splitext(filename)[1].lower() in ALLOWED_EXTENSIONS):
        
        return filename
    return None

1.4.2 【必须】禁止外部文件存储于可执行目录

1.4.3 【必须】避免路径穿越

import os

upload_dir = '/tmp/upload/' # 预期的上传目录
file_name = '../../etc/hosts' # 用户传入的文件名
absolute_path = os.path.join(upload_dir, file_name) # /tmp/upload/../../etc/hosts
normalized_path = os.path.normpath(absolute_path) # /etc/hosts
if not normalized_path.startswith(upload_dir): # 检查最终路径是否在预期的上传目录中
    raise IOError()

1.4.4 【必须】禁用XML外部实体的方法

1.4.5 【必须】禁用不安全的反序列化函数

1.4.6 【建议】避免路径拼接

1.4.7 【建议】文件名hash化处理

import uuid

def random_filename(filename):
    ext = os.path.splitext(filename)[1]
    new_filename = uuid.uuid4().hex + ext
    return new_filename

1.5 网络请求

1.5.1 【必须】限定访问网络资源地址范围

当程序需要从用户指定的URL地址获取网页文本内容、加载指定地址的图片、进行下载等操作时，需要对URL地址进行安全校验：

  1. 只允许HTTP或HTTPS协议

  2. 解析目标URL，获取其host

  3. 解析host，获取host指向的IP地址转换成long型

  4. 检查IP地址是否为内网IP

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
100.64.0.0/10
9.0.0.0/8
127.0.0.0/8
11.0.0.0/8
30.0.0.0/8
21.0.0.0/8
22.0.0.0/8
26.0.0.0/8
28.0.0.0/8
29.0.0.0/8

  1. 请求URL

  2. 如果有跳转，跳转后执行1，否则对URL发起请求

1.6 响应输出

1.6.1【必须】设置正确的HTTP响应包类型

响应包的HTTP头“Content-Type”必须正确配置响应包的类型，禁止非HTML类型的响应包设置为“text/html”。

1.6.2【必须】设置安全的HTTP响应头

1.6.3【必须】对外输出页面包含第三方数据时须进行编码处理

# 推荐使用mozilla维护的bleach库来进行过滤
import bleach
bleach.clean('an <script>evil()</script> example')
# u'an &lt;script&gt;evil()&lt;/script&gt; example'

1.7 数据输出

1.7.1【必须】敏感数据加密存储

1.7.2【必须】敏感信息必须由后台进行脱敏处理

1.7.3【必须】高敏感信息禁止存储、展示

1.7.4【必须】个人敏感信息脱敏展示

在满足业务需求的情况下，个人敏感信息需脱敏展示。

脱敏范围参考《IDC开发运维安全标准》5.3.2 的建议：

1.7.5【必须】隐藏后台地址

# 不要采取这种方式
admin_login_url = "xxxx/login"

# 安全示例
admin_login_url = "xxxx/L0g1nzA9eqCkA83tXVjbPun64H"

1.8 权限管理

1.8.1【必须】默认鉴权

1.8.2【必须】授权遵循最小权限原则

1.8.3【必须】避免越权访问

  1. 验证当前用户的登录态；
  2. 从可信结构中获取经过校验的当前请求账号的身份信息（如：session），禁止从用户请求参数或Cookie中获取外部传入不可信用户身份直接进行查询；
  3. 校验当前用户是否具备该操作权限；
  4. 校验当前用户是否具备所操作数据的权限；
  5. 校验当前操作是否账户是否预期账户。

1.8.4【建议】及时清理不需要的权限

1.9 异常处理

1.9.1【必须】不向对外错误提示

1.9.2 【必须】禁止异常抛出敏感信息

1.10 Flask安全

1.10.1【必须】生产环境关闭调试模式

1.10.2【建议】遵循Flask安全规范

1.11 Django安全

1.11.1【必须】生产环境关闭调试模式

1.11.2【建议】保持Django自带的安全特性开启