pickle 反序列化時是可以執行任意系統命令的

[013231]

import pickle
pickle.loads(b"cos\nsystem\n(S'ls'\ntR.")

上面的代碼中, ls 被執行, 列出了當前目錄下的文件. 這裡可以替換成其他命令, 例如rm -rf *.

Stackoverflow上的原理解釋.

[binux]

这不是很正常吗？

[phithon]

https://www.leavesongs.com/PENETRATION/zhangyue-python-web-code-execute.html
多加学习

[ryd994]

RTFM: https://docs.python.org/3/library/pickle.html

[qiukun]

所以说无论如何都要读文档啊

[mulog]

@phithon 厉害
iReader 起码也算有挺大体量的公司了 居然这么坑。。