安全客 - 安全资讯平台

flask_caching中的pickle反序列化问题

既然涉及到 pickle 序列化与反序列化，那就可能存在命令执行。

peri0d
2020-09-21 10:30:53

274283次阅读 1

这几天利节前的空闲时间刷了几道buuctf上的题目,遇到一道开启了debug模式的flask题目，发现了这道题目的两种解法，学习了一波flask开启debug模式下存在的安全问题，踩了不少坑，来和大家一起分享一下。

afeixbug
2020-02-03 15:30:54

1218734次阅读 3

浅谈Flask cookie与密钥的安全性

几星期之前我的一个小伙伴声称他构造了一个“绝对无法绕过的”登录表单。正如我所料，他说的有一定道理，代码看上去的确非常安全，不存在SQL注入、XSS漏洞，这种实现非常完美，直到我注意到他使用的密钥（secret key）为“CHANGEME”。

興趣使然的小胃
2019-01-31 14:30:30

462356次阅读

从HCTF两道Web题谈谈flask客户端session机制

这次hctf中有两道获取flask的secret_key生成客户端session的题目，所以这篇文章主要详细讨论一下flask客户端session的生成以及校验过程，以及在了解了flask客户端session机制后这两道题的解法。

差池其羽
2018-11-12 14:20:07

628023次阅读 7