位置: 编程技术 - 正文

Python 模板引擎的注入问题分析(python模板引擎开发)

编辑:rootadmin

推荐整理分享Python 模板引擎的注入问题分析(python模板引擎开发),希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:python html模板引擎,python模板引擎有那些,python模板引擎有那些,python模板引擎有那些,python 模板引擎 对比,python模板引擎有那些,python模板引擎有那些,python模板引擎有那些,内容如对您有帮助,希望把文章链接给更多的朋友!

这几年比较火的一个漏洞就是jinjia2之类的模板引擎的注入,通过注入模板引擎的一些特定的指令格式,比如 {{1+1}} 而返回了 2 得知漏洞存在。实际类似的问题在Python原生字符串中就存在,尤其是Python 3.6新增 f 字符串后,虽然利用还不明确,但是应该引起注意。

最原始的 %

如果用户输入 %(password)s 那就可以获取用户的真实密码了。

format方法相关

print ("Password " + passwd + " is wrong for user {user}").format(**userdata) 之外,还可以

Python 模板引擎的注入问题分析(python模板引擎开发)

会先把 0 替换为 format 中的参数,然后继续获取相关的属性。

但是貌似只能获取属性,不能执行方法?但是也可以获取一些敏感信息了。

例子: format_string 为 {event.__init__.__globals__[CONFIG][SECRET_KEY]} 就可以泄露敏感信息。

Python 3.6中的 f 字符串

这个字符串非常厉害,和Javascript ES6中的模板字符串类似,有了获取当前context下变量的能力。

没有 把一个普通字符串转换为 f 字符串的方法,也就是说用户很可能无法控制一个 f 字符串,可能无法利用,还需要继续查一下。

python 实现红包随机生成算法的简单实例 实例如下:/preprename="code"class="python"#!/usr/bin/python#-*-coding:utf-8-*-importrandomclassCDispatch:def__init__(self,sum,count):self.sum=sumself.count=count#print'initheresum=',sum,',count='

python的random模块及加权随机算法的python实现方法 random是用于生成随机数的,我们可以利用它随机生成数字或者选择字符串。random.seed(x)改变随机数生成器的种子seed。一般不必特别去设定seed,Python会自

python对json的相关操作实例详解 本文实例分析了python对json的相关操作。分享给大家供大家参考,具体如下:什么是json:JSON(JavaScriptObjectNotation)是一种轻量级的数据交换格式。易于人阅

标签: python模板引擎开发

本文链接地址:https://www.jiuchutong.com/biancheng/382397.html 转载请保留说明!

上一篇:python getopt详解及简单实例(python的get)

下一篇:python 实现红包随机生成算法的简单实例(python随机发红包代码)

  • 增值税出口退税款缴纳企业所得税吗
  • 税务局报税怎么操作流程
  • 车辆购置税的税率是多少
  • 投资性房地产出售的会计处理
  • 资产负债表中没有实收资本
  • 失业保险费返还后是给单位还是给员工
  • 完全成本法例子
  • 增值税专票经办人怎么填
  • 预期收益率计算器
  • 购进原材料发生非正常损失,账面成本10万元 该原材料
  • 初期厂房监理费怎么做账?
  • 机关和事业单位哪个好
  • 合并报表编织原则
  • 未缴纳个人所得税承诺书模板
  • 自收自支事业单位是什么意思
  • 发票专用章只能盖一个
  • 发票上的备注怎么填写步骤
  • 计提生产经营
  • 预缴水利基金如何申报?
  • 简单内帐利润报表一目了然
  • 股票现金分红
  • 个税如何绑定新公司
  • 申请开立临时存档的条件
  • 交易性金融资产属于什么类
  • 免税收入和不征税收入有哪些?怎么记忆
  • Linux如何给文件赋予内容
  • 主营业务成本算损益类科目吗
  • 退多收款怎么做分录
  • php删除数据库数据代码
  • 出口货物退税率为0,是否出口免税
  • win7系统文件在哪里可以找到
  • 赔偿款财务如何做账
  • 微信小程序实现支付功能
  • yolov5超参数进化
  • php模板源码
  • yii2带搜索功能的下拉框实例详解
  • 税务变更登记需要带的资料有哪些
  • 持续ping ip的命令
  • 独立核算的分公司可以享受小微企业吗
  • java基础变量字节
  • 本年利润弥补以前年度亏损分录
  • 浏览器加域名
  • java中map.entry
  • 企业接受捐赠如何开具发票
  • 旅游费记入什么科目
  • 其他货币资金是什么科目
  • 年均复合增长率该怎么算?
  • 一般计税增值税预缴税款怎么算
  • 公司收到待报解预算收入在哪里查具体情况
  • 公司注册登记需要多少钱
  • 个贷系统平账专户怎么做分录
  • 用友结算成本处理在哪里
  • 抵押贷款购买商品合法吗
  • 建筑施工企业质量管理规范
  • 股权转让如何缴纳个税
  • 研发支出费用化和资本化的界定
  • 出租车费用分录
  • 应收的货款
  • 工业企业存货发出计价的方法
  • sqlserver排序规则怎么看
  • mysql索引实战
  • sql转换
  • win7旗舰系统
  • piped.exe
  • windows xp 开机
  • 如何手动添加开机密码
  • win10系统找不到mrt
  • django环境配置
  • js正则表达式写法
  • 安卓用什么抓包
  • 网页弹窗不见了
  • jquery隐藏和显示div
  • jQuery EasyUI Tab 选项卡问题小结
  • 上海市税务局招聘
  • 综合所得申报表在哪里
  • oecd国家是什么意思
  • 慧付钱包app官网下载
  • 税务uk数据怎么导出来
  • 房产税税源编号
  • 如果企业所得税没有做计提怎么办?
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设