KCon 2018 議題解讀：Python 動態代碼審計

作者：niexinming
作者博客：https://www.n0tr00t.com/2018/08/30/Python-dynamic-codereview.html

議題 PPT 下載地址：/static/ppt/KCon-2018-Python-dynamic-codereview.pptx

0x00 動態代碼審計用處

1. 大型項目代碼結構複雜
2. 有些危險的功能隱藏較深（危險的定時計劃任務、sqlite數據庫任意創建導致任意文件覆蓋……）
3. 提高效率，希望通過一些黑盒的方法比較快速的找到漏洞。

0x01 常見漏洞分類

1. 數據庫操作
2. 敏感函數的調用和傳參
3. 文件讀寫操作
4. 網絡訪問操作

0x02 正文目錄

1. 數據庫general log 日誌
2. hook關鍵函數
3. 結合auditd
4. http盲攻擊
5. fuzzing

0x03 數據庫日誌

general-log是記錄所有的操作日誌,不過他會耗費數據庫5%-10%的性能,所以一般沒什麼特別需要,大多數情況是不開的,例如一些sql審計和代碼審計等,那就是打開來使用了

Mysql通過命令行的方式打開general log:

    set global general_log_file='';
    set global general_log=on;

Postgresql 通過編輯配置文件打開general log:

編輯：postgresql.conf

    log_directory = 'pg_log'                    
    log_filename = 'postgresql-%Y-%m-%d_%H%M%S.log'
    log_statement = 'all'

打開之後用burp向web api發送一些包含sql注入的畸形數據

转载请注明：IAMCOOL » KCon 2018 議題解讀：Python 動態代碼審計