代码之家 › 专栏 › 技术社区 › Ng Oon-Ee

金字塔/wsgi操作系统的安全影响。环境后门?

dev-to-production environment pyramid security python

Ng Oon-Ee · 技术社区 · 9 年前

在我的pyramid应用程序中,能够以任何用户的身份登录(用于测试/调试,而不是在生产中)非常有用。我的正常登录过程只是对散列密码进行简单的bcrypt检查。

基本上我希望检查操作系统。特定变量“debug”的环境(从apache通过mod\u wsgi加载的debug.wsgi文件中设置)。如果它存在,那么我将允许使用任何密码登录(对于任何用户),绕过密码检查。

这对安全有什么影响?据我所知,当apache加载时,wsgi文件只需源代码一次,因此,如果生产。wsgi文件没有设置那个特定的变量,攻击者(或不称职的用户)欺骗它的可能性有多大?

1 回复 | 直到 9 年前

Fabien 9 年前

为了在环境中实例化具有该调试功能的服务器应用程序,攻击者必须交出您的Web服务器,很可能具有管理权限。

在外部进程中,攻击者无法修改加载到内存中的正在运行的服务器的环境,至少在没有调试功能和良好的重写内存负载的情况下。只需重新加载服务器或尝试在其中执行脚本就更容易了。

推荐文章

edbras · 如何使用金字塔读取http post参数?

8 年前

Stew · 我应该如何对我的金字塔应用程序的路径匹配进行单元测试?

8 年前

kaiya · 通过迭代创建数字金字塔

8 年前

Alison Goh · Python金字塔-使用会话将表单数据传递到另一个页面

8 年前

Dave · 使用相对路径无法找到金字塔的变色龙渲染器模板

8 年前

Eduardo Lucio · Redis-用户名、密码和数据库?

9 年前

Laurynas TamuleviÄius · 无法正确更新SQLAlchemy行

9 年前

Jaigus · pyramid\u simpleform是否适用于python3.5.2?

9 年前

Ng Oon-Ee · 金字塔/wsgi操作系统的安全影响。环境后门?

9 年前

Jaigus · 为什么我的查询对象没有被执行,而仍然是一个查询对象?

9 年前