SyntaxError：语法无效？ eval() [重复]

Question

基本上我正在针对 python eval 安全问题进行 POC，但出现以下错误：

Traceback (most recent call last):
 File "exploit.py", line 11, in <module>
  a = paste()
 File "exploit.py", line 6, in paste
  if eval('%s > 1' % a):
 File "<string>", line 1
import os;os.system('pwd') > 1
     ^
SyntaxError: invalid syntax

代码：

import datetime

def paste():
    a = "import os;os.system('pwd')"
    if eval('%s > 1' % a):
       print a
    else:
       #create_brew(request.json)
       return None, 201
a = paste()
print a

谁能帮助我如何在线导入库？

Answer 1

eval 在表达式中起作用。 使用exec执行语句[import是语句]

另请注意，您不能将 exec 分配给变量。

>> exec('import os;data = os.getcwd()')
>> print(data)
>> # /path/of/you/cwd

您可以使用变量data 继续您的测试。

---

冒昧地编辑您的代码如下：

def paste():
    data = None
    exec('import os;data = os.getcwd()')
    if data:
        return data
    else:
         return None, 201


a = paste()

print(a)