Про безопасность. Очень давно я запретил пользователям в моем калькуляторе

Question

Про безопасность. Очень давно я запретил пользователям в моем калькуляторе

использовать знаки:
<
>
Вопрос:
Это было из соображений безопасности, или просто случайно забыл разрешить?
Для вычисления пользовательских выражений я использую функцию eval на сервере
Можно ли при помощи каких нибудь >> или << что нибудь сломать в скрипте?

#backend #programming #python #russian

0

20.01.2022

12 ответов

30 просмотров

Alex Yurasov Автор вопроса

r nurnu
1 + 1; import os; os.system("rm -rf");

не сработает. у меня словарь разрешенных слов только пропускает на исполнение

0

20.01.2022

Проксимов Прксимович

Alex Yurasov
не сработает. у меня словарь разрешенных слов толь...

И что разрешено?

0

20.01.2022

Alex Yurasov Автор вопроса

Проксимов Прксимович
И что разрешено?

https://github.com/format37/calcubot_python/blob/master/words.txt

0

20.01.2022

Проксимов Прксимович

Alex Yurasov
https://github.com/format37/calcubot_python/blob/m...

А символы какие?

0

20.01.2022

Alex Yurasov Автор вопроса

Проксимов Прксимович
А символы какие?

not_letters = ",.0123456789 ()[]{}:'+-_*&%/\="+'"' letters = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz"

0

20.01.2022

Alex Yurasov Автор вопроса

Alex Yurasov
not_letters = ",.0123456789 ()[]{}:'+-_*&%/\="+'"...

и вот я хочу добавить > и < погуглил и не нашел где >> или << используется

0

20.01.2022

Проксимов Прксимович

Alex Yurasov
not_letters = ",.0123456789 ()[]{}:'+-_*&%/\="+'"...

Т.п больше одной буквы считается слово?

0

20.01.2022

Kirill Shikhalev

Alex Yurasov
и вот я хочу добавить > и < погуглил и не нашел гд...

Если использовать __dict__ и записывать строки восьмеричными хуйнями можно достать из любого объекта любое поле, у тебя можно дергать random, а у random по чистой случайности есть поле _os которое хранит ссылку на модуль os, что это значит сам догадаешься

0

20.01.2022

Проксимов Прксимович

Kirill Shikhalev
Если использовать __dict__ и записывать строки вос...

В восьмеричке будут буквы, в они валидируются

0

20.01.2022

Алиса Кассель-Королёва

бот сейчас работает?

0

20.01.2022

Kirill Shikhalev