写在前面的话在前几天，我有幸参加了ToorConCTF(https://twitter.com/toorconctf)，而在参加此次盛会的过程中我第一次在Python中发现了序列化漏洞。在我们的比赛过程中，有两个挑战中涉及到了能够接受序列化对象的Python库，而我们通过研究发现，这些Python库中存在的安全漏洞将有可能导致远程代码执行(RCE)。由于我发现网上关于这方面的参考资料非常散乱，查找
转载
2023-11-16 23:33:23
5阅读
文章目录前言正文1.有关__reduce__()2.R指令的禁用3.有关opcode的编写（1）原始的方法（手写）（2）神器pker4.题目加更5.后记 前言写这篇文章的起因是两次遇到python pickle的题目都只做到了命令执行的程度，但都没有反弹shell。看别人的wp都是通过curl将flag拉到vps上的，怎么说呢，死于没有公网IP。虽然之前在做题的时候，照着网上的exp可以把自己的
转载
2023-10-19 22:41:24
16阅读
反序列化器数据验证使用序列化器进行反序列化时，需要对数据进行验证后，才能获取验证成功的数据或保存成模型类对象。
在获取反序列化的数据前，必须调用**is_valid()**方法进行验证，验证成功返回True，否则返回False。
验证失败，可以通过序列化器对象的**errors**属性获取错误信息，返回字典，包含了字段和字段的错误。如果是非字段错误，可以通过修改REST framework配置
# Python反序列表实现教程
## 1. 引言
在Python中，列表是一种常用的数据结构，它可以存储多个元素，并且可以进行插入、删除和访问等操作。有时候我们需要对列表进行反序操作，即将列表中的元素顺序颠倒过来。本文将介绍如何使用Python实现反序列表的功能。
## 2. 实现流程
下面是实现反序列表的流程图：
```mermaid
erDiagram
开始 --> 输入列
原创
2023-11-25 04:28:25
30阅读
# Python中的hex反序列化
在计算机科学中，反序列化是将序列化数据重新转化为对象的过程。而hex反序列化则是指将十六进制表示的数据重新转化为可读的原始数据。Python提供了一些内置的函数和模块来帮助我们进行hex反序列化的操作。
## 什么是hex反序列化？
在计算机领域中，数据的序列化是指将数据结构或对象转换为一系列字节的过程，以便存储或传输。这种序列化后的数据通常是一串不可读的
原创
2024-02-17 06:02:27
106阅读
前言今天朋友叫我帮忙看了一道ctf题目，刚好又有空就帮忙看了下，过程比较有趣，就记录下来，是一道关于python反序列的题目，之前没玩过python的反序列化，因此就记录下python反序列化基础python反序列通常会用Pickle组件进行操作，和python中的json转换一样，使用loads和dumps2个函数实现反序列化和序列化操作import pickle
text = 'hellow
转载
2023-06-19 09:55:38
130阅读
一、pickle模块 1、pickle模块存储到变量：（二进制） （1）存，pickle.dumps(object)：序列化为二进制 将数据转为二进制（序列化）进行存储 例子： &
转载
2023-12-07 01:07:36
164阅读
详解Python 序列化Serialize 和 反序列化Deserialize详解Python 序列化Serialize 和 反序列化Deserialize序列化 (serialization)序列化是将对象状态转换为可保持或传输的格式的过程。与序列化相对的是反序列化，它将流转换为对象。这两个过程结合起来，可以轻松地存储和传输数据。序列化和反序列化的目的1、以某种存储形式使自定义对象持久化；2、将
转载
2023-11-05 18:39:28
192阅读
0x00 前记前些时间看了看python pickle的源码，研究了一下一些利用方式，这里总结分享一下反序列化漏洞的一些利用方式，如果本文有错误的地方请各位师傅不吝赐教。漏洞原理就不再赘述了，可以看看关于python sec的简单总结这篇文章。0x01 基础利用通常我们利用__reduce__函数进行构造，一个样例如下：#!/usr/bin/env python
# encoding: utf-8
转载
2023-10-16 18:35:37
8阅读
反序列化漏洞PHP反序列化漏洞也叫PHP对象注入，是一个非常常见的漏洞，这种类型的漏洞虽然有些难以利用，但一旦利用成功就会造成非常危险的后果。漏洞的形成的根本原因是程序没有对用户输入的反序列化字符串进行检测，导致反序列化过程可以被恶意控制，进而造成代码执行、getshell等一系列不可控的后果。反序列化漏洞并不是PHP特有，也存在于Java、Python等语言之中，但其原理基本相通。反序列化函数：
转载
2023-12-18 22:40:14
56阅读
| JSON | Python |
| ------------------- | ------------ |
| object | dict （集合） |
| array | list 列表 |
| string | str |
转载
2023-06-21 16:29:20
211阅读
json作用：用来保存当前状态 1、使用json.dumps序列化把dic字典存到文件中dic={'name':'egon','age':18}
print(json.dumps(dic)) #得到一个json格式的字典{"name": "egon", "age": 18} 格式字符串格式
with open('a.json','w') as f:
f.write(
转载
2023-06-11 19:54:42
186阅读
0x01 概述什么程序存在漏洞：使用了PyYAML这个库并且使用了yaml.load而不是yaml.safe_load函数来解析yaml文件的程序代码审计关键词：import yamlyaml.load(已知相关漏洞：Remote Code Execution Vulnerability in Ansible-Vault Library. (CVE-2017-2809)
https://pypi.
转载
2023-11-28 20:14:13
17阅读
变量从内存中变成可存储或传输的过程称之为序列化。序列化之后，就可以把序列化后的内容写入磁盘，或者通过网络传输到别的机器上。叫pickling。把python的对象编码转换为json格式的字符串
转载
2023-08-02 08:18:51
144阅读
前言# 上面看完，请忽略下面的内容Python 中有很多能进行序列化的模块，比如 Json、pickle/cPickle、Shelve、Marshal一般 pickle 模块较常使用 在 pickle 模块中 , 常用以下四个方法pickle.dump(obj, file) : 将对象序列化后保存到文件pickle.load(file) : 读取文
转载
2023-08-22 21:19:39
16阅读
文章目录序列化就是将python中的字典转换为一种特殊的字符串（json）那么反序列化就是，将json字符串转换为python字典想输出真正的中文需要指定ensure_ascii=False,,还可以使用排序sort_keys,缩进:indent1.json.dumps()用于将dict类型的数据转成str2. 、json.dump()用于将dict类型的数据转成str，并写入到json文件中。
转载
2023-08-09 15:08:03
60阅读
阅读：1,806序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，类ObjectInputStream类的readObject()方法用于反序列化。比如你可以将字符串对象先进行序列化，存储到本地文件，然后再通过反序列化进行恢复。事件介绍2015年11月
转载
2023-10-15 01:24:07
10阅读
Marshmallow，中文译作：棉花糖。是一个轻量级的数据格式转换的模块，也叫序列化和反序列化模块，常用于将复杂的orm模型对象与python原生数据类型之间相互转换。marshmallow提供了丰富的api功能。如下：Serializing序列化[可以把数据对象转化为可存储或可传输的数据类型，例如：objects/object->list/dict，dict/list->strin
转载
2024-04-28 13:26:15
95阅读
PHAR是什么PHAR (“Php ARchive”) 是PHP里类似于JAR的一种打包文件，在PHP 5.3 或更高版本中默认开启，这个特性使得 PHP也可以像 Java 一样方便地实现应用程序打包和组件化。一个应用程序可以打成一个 Phar 包，直接放到 PHP-FPM 中运行。简单来讲phar就是一种文件格式PHAR文件结构phar既然是一种文件格式，那么就会有特定的文件结构主要分为3-4个
转载
2023-10-12 21:00:19
36阅读
Python Pickle反序列化安全问题在python中，相比于存储一个数字或者字符串，如果我们想要存储一个字典、列表或者对象，似乎并没有那么容易。但python和PHP等其他语言一样，也提供了一种序列化和反序列化的方法用来解决这个问题：我们可以把他们“序列化”成一种符合特殊规范的字符串，然后将其存储到一个文件当中。当我们想要获取该元素的时候，可以从文件中读取对应的字符串来进行“反序列化”，再经
转载
2023-12-20 14:17:22
134阅读
