别这样直接运行Python命令,否则电脑等于“裸奔”
印象Python
共 5555字,需浏览 12分钟
· 2020-12-06
点击上方蓝字关注我们
my_lib.py
,只需在调用这个模块的程序中加入一行import my_lib
即可。
~/Downloads
文件夹后,就直接在此路径下运行python命令,这样做会给电脑带来极大的隐患。
别再图方便了
-
系统路径上的每个条目都处于安全的位置; -
“主脚本”所在的目录始终位于系统路径中; -
若python命令使用-c和-m选项,调用程序的目录也必须是安全的。
/usr/bin
文件夹下,并运行pip命令。由于/usr/bin
是系统路径,因此这是一个非常安全的地方。
$PATH
设置的复杂性,而且对于Windows用户来说,也可以避免处理安装各种exe脚本和文档。
下载文件夹并不安全
$ cd ~/Downloads
$ python -m pip install ./totally-legit-package.whl
pip.py
到下载文件夹中。
~$ mkdir attacker_dir
~$ cd attacker_dir
$ echo 'print("lol ur pwnt")' > pip.py
$ python -m pip install requests
lol ur pwnt
设置$PYTHONPATH也不安全
$PYTHONPATH
环境变量,不把当前目录放在环境变量里,这样不就安全了吗?
# tool.py
try:
import optional_extra
except ImportError:
print("extra not found, that's fine")
# optional_extra.py
print("lol ur pwnt")
$ cd ~/attacker_dir
$ python ../install_dir/tool.py
extra not found, that's fine
$PYTHONPATH
以前是空的或者未设置,那么它会包含一个空字符串,该字符串被解析为当前目录。
~/attacker_dir$ export PYTHONPATH="/a/perfectly/safe/place:$PYTHONPATH";
~/attacker_dir$ python ../install_dir/tool.py
lol ur pwnt
$PYTHONPATH
总该没问题了吧?Naive!还是不安全!
~/attacker_dir$ export PYTHONPATH="";
~/attacker_dir$ python ../install_dir/tool.py
lol ur pwnt
$PYTHONPATH
变成空的了,这和unset是不一样的。
os.environ.get(“PYTHONPATH”) == “”
和 os.environ.get(“PYTHONPATH”) == None
是不一样的。
$PYTHONPATH
已从shell中清除,则需要使用unset命令处理一遍,然后就正常了。
$PYTHONPATH
曾经是设置Python开发环境的最常用方法。但你以后最好别再用它了,virtualenv可以更好地满足开发者需求。如果你过去设置了一个$PYTHONPATH
,现在是很好的机会,把它删除了吧。
export PYTHONPATH="${PYTHONPATH:+${PYTHONPATH}:}new_entry_1"
export PYTHONPATH="${PYTHONPATH:+${PYTHONPATH}:}new_entry_2"
$PYTHONPATH
变量的值会变成:
$ echo "${PYTHONPATH}"
new_entry_1:new_entry_2
$PYTHONPATH
中没有空格和多余的冒号。
jupyter notebook ~/Downloads/anything.ipynb
也有可能将恶意程序引入到代码中。
预防措施
-
如果要在下载文件夹~/Downloads中使用Python编写的工具,请养成良好习惯,使用pip所在路径 /path/to/venv/bin/pip
,而不是输入/path/to/venv/bin/python -m pip
。 -
避免将~/Downloads作为当前工作目录,并在启动之前将要使用的任何软件移至更合适的位置。
回复下方 「关键词」,获取优质资源
回复关键词 「linux」,即可获取 185 页 Linux 工具快速教程手册和154页的Linux笔记。
回复关键词 「Python进阶」,即可获取 106 页 Python 进阶文档 PDF
回复关键词 「Python面试题」,即可获取最新 100道 面试题 PDF
回复关键词 「python数据分析」,即可获取47页python数据分析与自然语言处理的 PDF
回复关键词 「python爬虫」,满满五份PPT爬虫教程和70多个案例
回复关键词 「Python最强基础学习文档」,即可获取 168 页 Python 最强基础学习文档 PDF,让你快速入门Python
回复关键词 「linux」,即可获取 185 页 Linux 工具快速教程手册和154页的Linux笔记。
回复关键词 「Python进阶」,即可获取 106 页 Python 进阶文档 PDF
回复关键词 「Python面试题」,即可获取最新 100道 面试题 PDF
回复关键词 「python数据分析」,即可获取47页python数据分析与自然语言处理的 PDF
回复关键词 「python爬虫」,满满五份PPT爬虫教程和70多个案例
推荐我的微信号
来围观我的朋友圈,我的经验分享,技术更新,不定期送书,坑位有限,速速扫码添加!
备注:开发方向_昵称_城市,另送你10本Python电子书。
点个在看你最好看
评论
你需要知道的20个常用的Python技巧
点击上方“小白学视觉”,选择加"星标"或“置顶”重磅干货,第一时间送达来源:https://medium.com翻译:小马Python的可读性和简单性是其广受欢迎的两大原因,本文介绍20个常用的Python技巧来提高代码的可读性,并能帮助你节省大量时间,下面的技巧将在你的日常编码练习中非常实用。1.
小白学视觉
0
某大公司为逼迫员工离职,竟然把他的工位安排到厕所旁,没想到他直接开始记录领导的如厕时间,还发到公司大群...
上一篇:字节的跳动职级与薪资(2024年)我们与公司间的合作,宛如两艘船只在茫茫大海上相互依靠,共同抵御风浪,携手驶向成功的彼岸。然而,当航向开始产生分歧,或是波涛汹涌的风浪改变了我们的初衷,我们或许应当冷静地选择和平分手,而非在风雨中硬撑。最近,一位网友的遭遇引起了广大职场人的关注和热议。这位网友
开发者全社区
0
金融研究 | 使用Python测量关键审计事项的「信息含量」
Tips: 公众号推送后内容只能更改一次,且只能改20字符。如果内容出问题,或者想更新内容, 只能重复推送。为了更好的阅读体验,建议阅读本文博客版, 链接地址https://textdata.cn/blog/2023-01-13-information-content-of-critical-aud
大邓和他的Python
0
金融研究(更新) | 使用Python构建关键审计事项的「信息含量」
Tips: 公众号推送后内容只能更改一次,且只能改20字符。如果内容出问题,或者想更新内容, 只能重复推送。为了更好的阅读体验,建议阅读本文博客版, 链接地址https://textdata.cn/blog/2023-01-13-information-content-of-critical-aud
大邓和他的Python
0
偷偷告诉你如何一台电脑开多个微信!
大家好,我是轩辕。前几天在粉丝群里,有人问我是怎么在一台电脑上同时登录两个微信的?正好之前写过一篇文章,分析过原理,分享给没看过的小伙伴学习一下。手机端多开微信估计很多人都知道,像华为、小米等手机系统都对此做了支持,不过在运行Windows系统的电脑上怎么启动两个微信呢?其实很简单,你只需要写一个批
编程技术宇宙
0
谷歌员工爆料 Python 基础团队原地解散
转自 | 机器之心编辑 | 蛋酱什么?谷歌解雇了整个 Python 基础团队?「当与你直接共事的每个人,包括你的主管,都被裁员 —— 哦,是职位被削减,而你被要求安排他们的替代者入职,这些人被告知在不同的国家担任同样的职位,但他们并不为此感到高兴,这是很艰难的一天。」发布这一动态的 Tho
机器学习算法与Python实战
0
五一抢票难,Github上这几个Python项目,你可以试试
又到五一长假啦(虽然其实就放了1天),大家是打算家里蹲or出去玩,又或者是在公司加班呢...今天给大家介绍三个和12306相关的项目,看看你是否用得上。/01/ py12306py12306购票助手,顾名思义,12306买票的~需要在python 3.6以上版本运行程序。1. 安装依赖gi
Crossin的编程教室
0
谷歌员工爆料Python基础团队原地解散
机器之心报道编辑:蛋酱什么?谷歌解雇了整个 Python 基础团队?「当与你直接共事的每个人,包括你的主管,都被裁员 —— 哦,是职位被削减,而你被要求安排他们的替代者入职,这些人被告知在不同的国家担任同样的职位,但他们并不为此感到高兴,这是很艰难的一天。」发布这一动态的 Thomas Wouter
机器学习初学者
0