零基础入门学习Python---Python中安全编程

原创

穹渊安全 2024-09-26 11:01:04 ©著作权

文章标签 Python API 数据 文章分类 网络安全

©著作权归作者所有：来自51CTO博客作者穹渊安全的原创作品，请联系作者获取转载授权，否则将追究法律责任

📑 Python安全编程和测试

Python 在网络安全和测试领域有着广泛的应用，如 Web 应用开发，安全测试，ETL 流程，数据分析等，本文将介绍 Python 安全编程和测试的基本原则和技术，以及常见的安全漏洞和攻击方式。

📄 安全编程的基本原则和技术

📜 数据验证

在编写 Python 程序时，保证对输入数据的验证是很重要的。数据验证是指对输入数据的正确性和安全性进行检验，从而防止恶意攻击者利用恶意数据破坏程序。

以下是一些常见的数据验证技术：

输入长度验证。
输入指定字符的验证，如数字，字母和符号。
输入数据的格式验证，如邮箱和手机号码。
预处理用户输入数据，去除不必要的字符和标签。

import re

email_regex = re.compile(r"[^@]+@[^@]+\.[^@]+")

def is_valid_email_address(email):
    """
    校验电子邮件地址。
    """
    if not email:
        return False
    
    return email_regex.match(email) is not None

print(is_valid_email_address("foo@example.com"))
print(is_valid_email_address("bar@test"))

📜 减少代码注入风险

Python 中的执行代码注入风险被广泛利用，例如在处理不能信任的数据时，如网络爬虫、Web 应用程序和数据处理程序。这些程序需要经常处理动态的输入数据，恶意攻击者可能使用这些数据注入恶意代码。

以下是一些减少代码注入风险的技术：

使用 Python 内置的编码和解码模块进行 URL、XML、JSON 的加解密处理，减少注入攻击的风险。
使用 Paramiko API 网络连接模块，支持 SSH 和 Telnet 协议。

# 使用 XML 模块解析恶意 XML 数据
import xml.etree.ElementTree as ET

def get_element_value(xml_string, element_name):
    """
    获取 XML 元素值。
    """
    root = ET.fromstring(xml_string)
    return root.findtext(element_name)

📜 防止敏感数据泄露

在处理敏感数据时，防止敏感数据泄露是非常重要的，如数据库连接密码、敏感配置文件等。为避免敏感数据泄露，可以使用如下的技术：

在处理敏感数据时，尽量不要使用明文存储，例如使用哈希合适的算法存储密码，保证安全性。
使用环境变量或者配置文件等把敏感数据存储到特定的位置。
对敏感数据进行专门的加密和解密，如 AES，RSA，MD5 等。

import hashlib

def md5_encode(password: str) -> str:
    """
    使用 md5 加密方式对密码进行加密。
    """
    md5 = hashlib.md5()
    md5.update(password.encode("utf-8"))
    return md5.hexdigest()

📄 常见的安全漏洞和攻击方式

了解常用的安全漏洞和攻击方式是非常重要的，以下是一些常见的安全漏洞和攻击方式：

📜 SQL 注入攻击

在 Web 应用程序中 SQL 注入攻击被广泛利用，例如查询恶意语句的内容或者修改数据库等，为避免 SQL 注入攻击，应在构造 SQL 语句时使用预定义查询，或使用数据库的原生语句，防止恶意的 SQL 数据注入。

import sqlite3

def get_user_data(user_id: int):
    """
    从数据库获取用户信息，使用绑定参数方式防止 SQL 注入攻击。
    """
    with sqlite3.connect("example.db") as conn:
        cursor = conn.cursor()
        cursor.execute("SELECT * FROM user WHERE id = ?", (user_id,))
        row = cursor.fetchone()
        if row:
            return {"id": row[0], "username": row[1], "email": row[2]}

print(get_user_data(1))

📜 XSS 跨站脚本攻击

在 Web 应用程序中，XSS 攻击通常利用网页编译程序的漏洞，通过注入恶意脚本来控制用户的浏览器。为避免 XSS 攻击，可以使用框架内置的 XSS 过滤器或编写自己的 XSS 过滤器，对用户的输入进行过滤。

以下是一个示例代码，用于从 HTML 中过滤恶意脚本：

import html

def html_escape(text):
    """
    转义 HTML 中的非法字符，防止 XSR 攻击。
    """
    return html.escape(text)

html = """
<html>
<head>
<title>安全编程的示例代码</title>
</head>
<body>
<script>alert('注入攻击！')</script>
<div>{{ content }}</div>
</body>
</html>
"""

print(html_escape(html))

📄 使用加密和哈希算法保护数据

保护数据的安全性是非常关键的，特别是在处理敏感数据时更是必要的。常用的加密和哈希算法包括 MD5，SHA，AES，RSA 等。

以下是一个使用 AES 加密算法的示例代码，对用户的输入密码进行加密存储和解密：

import base64
import hashlib
from Crypto.Cipher import AES

class AESEncrypt:
    """
    加解密逻辑处理。
    """
    key = hashlib.md5("xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx".encode("utf-8")).digest()

    def __init__(self):
        self.mode = AES.MODE_CBC
        self.Iv = b'0000000000000000'

    def encrypt(self, text):
        cryptor = AES.new(self.key, self.mode, self.Iv)
        length = 16
        count = len(text.encode("utf-8"))
        add = length - (count % length)
        text += (b'\0' * add).decode("utf-8")
        self.ciphertext = cryptor.encrypt(text.encode("utf-8"))
        return base64.b64encode(self.ciphertext)

    def decrypt(self, text):
        cryptor = AES.new(self.key, self.mode, self.Iv)
        plain_text = cryptor.decrypt(base64.b64decode(text))
        return plain_text.rstrip(b'\0').decode("utf-8")

aes = AESEncrypt()

original_password = "123456"
en_password = aes.encrypt(original_password)
print(f"original password: {original_password}")
print(f"encrypted password: {en_password.decode('utf-8')}")

print(f"decrypt password: {aes.decrypt(en_password)}")
assert original_password == aes.decrypt(en_password)

📄 编写安全的 Web 应用和 API

在编写 Web 应用和 API 时，需要遵循以下的安全性原则：

使用 HTTPS 协议，保证连接安全。
应保护用户会话，避免恶意攻击者通过会话劫持窃取会话信息。
认证和授权的原则，确保连目标的 API 和服务只能由授权的用户使用。
数据和交互的验证原则，确保用户输入和应用程序交互的有效性。
监控和日志，对应用程序的运行时行为进行记录。

以下是一个示例代码，用于展示如何使用 Flask 来编写一个基本的 Web 应用和 API：

from flask import Flask, jsonify, request

app = Flask(__name__)

@app.route("/", methods=["GET"])
def home():
    """
    返回 API 首页。
    """
    response = {"message": "欢迎来到 Python 安全编程 API！"}
    return jsonify(response)

@app.route("/login", methods=["POST"])
def login():
    """
    登录接口。
    """
    username = request.form.get("username")
    password = request.form.get("password")
    
    if authenticate(username, password):
        token = generate_token"""
## 编写安全的 Web 应用和 API（续）

以下是一个示例代码，用于展示如何使用 Flask 来编写一个基本的 Web 应用和 API：

```python
from flask import Flask, jsonify, request

app = Flask(__name__)

@app.route("/", methods=["GET"])
def home():
    """
    返回 API 首页。
    """
    response = {"message": "欢迎来到 Python 安全编程 API！"}
    return jsonify(response)

@app.route("/login", methods=["POST"])
def login():
    """
    登录接口。
    """
    username = request.form.get("username")
    password = request.form.get("password")

    if authenticate(username, password):
        token = generate_token(username)
        return jsonify({"token": token.decode("utf-8")})

    return jsonify({"error": "用户名或密码错误。"}), 401

@app.route("/profile", methods=["GET"])
@auth_required
def profile():
    """
    用户资料。
    """
    username = request.headers.get("Authorization")
    user = get_user_by_username(username)
    return jsonify({"id": user.id, "username": user.username, "email": user.email})

if __name__ == "__main__":
    app.run()

在上述代码中，我们使用了 Flask 框架来编写一个简单的 API，并实现了登录和用户资料的接口，以及 JWT 认证和授权的功能。为了保护 API 的安全性，我们定义了一个 auth_required 装饰器，用于验证 JWT Token 的有效性，防止非法请求访问接口。

📄 单元测试和集成测试的基本概念

单元测试和集成测试是 Python 安全编程的一个重要方面，其主要目的是为开发人员提供构建可持续性和可测试性应用程序的机制，并帮助他们实现高质量的代码。单元测试是指对应用程序中单独的部分进行测试，而集成测试是指考虑应用程序的整体性，在构建和部署应用程序之前测试整个应用程序。

以下是一些单元测试和集成测试的基本概念：

📜 单元测试

在 Python 中，unittest 模块是用于单元测试的标准库之一，通过使用 TDD（测试驱动开发）的方式为开发人员提供了一个基准测试类和一组断言方法，易于开发者编写简单，可重复的自动化测试。

以下是一个使用 unittest 模块编写的示例测试用例：

import unittest

class TestStringMethods(unittest.TestCase):

    def test_upper(self):
        self.assertEqual('foo'.upper(), 'FOO')

    def test_isupper(self):
        self.assertTrue('FOO'.isupper())
        self.assertFalse('Foo'.isupper())

    def test_split(self):
        s = 'hello world'
        print(s)
        self.assertEqual(s.split(), ['hello', 'world'])

if __name__ == "__main__": 
    t=TestStringMethods()
    t.test_split()

📜 集成测试

在 Python 中，pytest 模块是用于集成测试的标准库之一，可以使用插件和扩展模块扩展其功能。pytest 的功能非常强大，可以测试应用程序中的所有部分，包括数据库和 API。

以下是一个使用 pytest 模块编写的示例测试用例：

import pytest

def test_username():
    username = "john_doe_123"
    assert username.islower()


def test_password():
    password = "password123"
    assert len(password) >= 8

📄 使用 unittest 或 pytest 进行测试

Python 提供了许多单元测试和集成测试的库和框架，例如 unittest 和 pytest 等。

unittest 是 Python 内置的库，可以用于简单而可靠的单元测试，它定义了一组测试框架，支持参数化测试、测试装饰器、断言语句等特性。

以下是一个使用 unittest 编写的示例测试用例：

import unittest

class TestStringMethods(unittest.TestCase):

    def test_upper(self):
        self.assertEqual('foo'.upper(), 'FOO')

    def test_isupper(self):
        self.assertTrue('FOO'.isupper())
        self.assertFalse('Foo'.isupper())

    def test_split(self):
        s = 'hello world'
        self.assertEqual(s.split(), ['hello', 'world'])

pytest 是 Python 中一个非常流行的测试框架，支持功能强大、可配置和易于扩展，并且不需要类的继承。

以下是一个使用 pytest 编写的示例测试用例：

import pytest

def test_username():
    username = "john_doe_123"
    assert username.islower()


def test_password():
    password = "password123"
    assert len(password) >= 8

📄 测试驱动开发（TDD）的实践

测试驱动开发（TDD）是一种受欢迎的开发方法，它是一种理想的方式，可以在编写代码之前先编写测试用例，并在完成代码后进行自动化测试，以保证代码的正确性。

使用 TDD 开发 Python 安全编程应用程序时，我们可以遵循以下的流程：

编写测试用例。
运行测试用例，检查测试是否失败。
编写代码，让测试用例通过。
运行测试用例，检查是否成功通过。

以下是一个使用 TDD 开发的示例代码：

def get_user_data(user_id):
    """
    获取用户数据。
    """
    conn = get_database_connection()
    cursor = conn.cursor()
    cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))

    rows = cursor.fetchall()
    if rows:
        return rows[0]

    return None

def test_get_user_data():
    """
    用于测试获取用户数据的函数。
    """
    user_id = 1
    user_data = get_user_data(user_id)
    assert user_data is not None

在上面的示例代码中，我们首先编写一个获取用户数据的函数的测试用例，然后实现这个函数，最后运行测试用例，确保函数的正确性和安全性。

📄 结论

本文介绍了如何在 Python 中进行安全编程和测试，包括数据验证，减少代码注入风险，防止敏感数据泄露，常见的安全漏洞和攻击方式，使用加密和哈希算法保护数据，编写安全的 Web 应用和 API，单元测试和集成测试的基本概念，使用 unittest 或 pytest 进行测试，测试驱动开发（TDD）的实践等方面，并提供了示例代码，帮助开发者更好的理解 Python 安全编程和测试的概念和实践。