python反序列化1(__reduce__)
2024-09-08 01:20:24
part1:不求甚解的复现
对于服务端源码:
编写恶意序列化对象生成程序:
将生成的恶意序列化对象输入服务端user,使其执行系统命令。(上面那俩其实都行)
part2:原理解释
b'xxx'是python的byte数据类型,一个字符只占一个字节;往往用【\x4A】这种形式表示,但如果是可见字符,也可以直接写。
b'xxx'读取时需使用.decode()方法,后面的括号填字符集,默认utf-8
序列化与反序列化,之前在PHP里有初步接触。
在python pickle库中, .dump()是序列化, .loads()是反序列化。
pickletools.optimize()只是优化了序列化内容,让它变的短一点。
pickletools.dis()可以反汇编序列化的内容。 (pickletools有用的基本就这两个了)
class的__reduce__
方法,在pickle反序列化的时候会被执行。
最新文章
- Java泛型 E、T、K、V、N
- Bootstrap库之Modals
- Network - 工具列表
- Windows打印管理解决方案
- 在Silverlight中打开网页的几种方法
- 【输入输出挂】【Uva11462】Age Sort
- 关于java socket(转)
- Python入门教程(2)
- hdu 2955 Robberies (01背包)
- vue中子传父,父传子的具体用法
- MySQL 5.7临时表空间
- Java中字段、属性、成员变量、局部变量、实例变量、静态变量、类变量、常量
- kerberos介绍
- [POJ3416]Crossing
- hybrid项目h5页路由回退问题解决
- CMD命令行下修改网络IP设置的方法
- 浅析iOS中的触摸事件
- Step1-有序顺序表
- Django自带的加密算法及加密模块
- HDU 4586 Play the Dice(数学期望)
热门文章
- shell--目录通配符
- 手把手教你 Docker Compose安装DOClever
- HDU2094产生冠军 (拓扑排序)
- PTA 面向对象程序设计 6-1 引用作函数形参交换两个整数
- c++ 打包函数教程
- 迷你商城后端管理系统 ———— stage2 项目的核心代码实现
- Docker系列(24)- 实战:DockerFile制作tomcat镜像
- Jmeter系类(33) - JSR223(3) | java常用脚本
- Groovy系列(4)- Groovy集合操作
- deepin(debian)中双网卡上内外网的设置方法(通过NetworkManager运行脚本)