干貨|python安全和代碼審計相關資料整理
代碼注入、命令執行
1.內置危險函數 exec execfile eval 2.標準庫危險模塊 os subprocess commands 3.危險第三方庫 Template(user_input) : 模板注入(SSTI)所產生的代碼執行 subprocess32 4.反序列化 marshal PyYAML pickle和cpickle shelve PIL unzip
Python沙箱逃逸的n種姿勢
禁用import的情況下繞過python沙箱
Escaping the Python Sandbox
Python之數據序列化（json、pickle、shelve）
Exploiting Python PIL Module Command Execution Vulnerability
Exploiting Python Code Injection in Web Applications
EXPLOITING PYTHON CODE INJECTION IN WEB APPLICATIONS
Python eval的常見錯誤封裝及利用原理
Exploiting Python’s Eval
Exploiting insecure file extraction in Python for code execution
掌閱iReader某站Python漏洞挖掘
Python Pickle的任意代碼執行漏洞實踐和Payload構造
django的secret key泄漏導致的命令執行實踐
Remote Code Execution on a Facebook server
Python PyYAML反序列化漏洞實驗和payload構造
Exploiting Python Deserialization Vulnerabilities
Shellcoding in Python’s serialisation format
PyCodeInjection代碼注入實驗環境
Exploiting Python Code Injection in Web Applications （翻譯版）
Numpy反序列化命令執行(CVE-2019-6446)淺析
代碼審計
Python安全編碼和代碼審計
Python代碼審計連載之一：CSRF 同 https://www.cdxy.me/?p=736
Python代碼審計連載之二：SSTI 同 https://www.cdxy.me/?p=738
Python代碼審計連載之三：Server Side Request 同 https://www.cdxy.me/?p=744
Python代碼審計連載之四：Command Execution 同 https://www.cdxy.me/?p=747
Dangerous Python Functions, Part 1
Dangerous Python Functions, Part 2
Dangerous Python Functions, Part 3
記一下PythonWeb代碼審計應該注意的地方
廖新喜大佬的python代碼審計工具
來自openstack安全團隊的python代碼靜態審計工具
來自openstack安全團隊的python代碼靜態審計工具2
代碼審計工具pyt
xfkxfk的python自動化代碼審計 基于pyekaboo 和廖新喜的pyvulhunter
Django相關
Django debug page XSS漏洞（CVE-2017-12794）分析
Django DeleteView without confirmation template, but with CSRF attack
Django安全機制
從Django的SECTET_KEY到代碼執行
Django CSRF Bypass (CVE-2016-7401) 漏洞分析
Django CSRF Bypass 漏洞分析(CVE-2016-7401)
Django的兩個url跳轉漏洞分析:CVE-2017-7233&7234
Python 格式化字符串漏洞（Django為例） 同 https://xz.aliyun.com/t/288
Django 安全最佳實踐
從Pwnhub誕生聊Django安全編碼
python和django的目錄遍歷漏洞(任意文件讀取)
新型任意文件讀取漏洞的研究
django的一些安全問題答案
Django JSONField SQL注入漏洞（CVE-2019-14234）分析與影響
package釣魚
Package 釣魚
被忽視的攻擊面：Python package 釣魚
https://www.pytosquatting.org/
LDAP注入
Python安全編碼之預防LDAP注入
SSRF
談一談如何在Python開發中拒絕SSRF漏洞
Python安全 - 從SSRF到命令執行慘案
Splash SSRF 到獲取內網服務器 ROOT 權限
XSS
Flask Debugger頁面上的通用XSS漏洞分析和挖掘過程記錄
SQLI
討論PythonWeb開發中可能會遇到的安全問題之SQL注入
Django JSONField SQL注入漏洞（CVE-2019-14234）分析與影響
SSTI模版注入
Python Security Auditing (II): SSTI
exploring-ssti-in-flask-jinja2
exploring-ssti-in-flask-jinja2-part-ii
python webshell
https://github.com/evilcos/python-webshell
https://github.com/ahhh/Reverse_DNS_Shell
paper
Python_Hack_知道創宇_北北(孫博).pdf
其他
如何判斷目標站點是否為Django開發
Supervisord遠程命令執行漏洞（CVE-2017-11610）
python富文本XSS過濾器
基于mezzanine的攻防比賽環境搭建及XXE漏洞構造/
Python Waf黑名單過濾下的一些Bypass思路
Pwnhub Web題Classroom題解與分析
Programming Secure Web Applications in Python
[CVE-2016-5699] HTTP Header Injection in Python urllib 同 http://www.anquan.us/static/drops/papers-16905.html
[CVE-2019-9740] Python urllib CRLF injection vulnerability 同 https://xz.aliyun.com/t/5123
Hack Redis via Python urllib HTTP Header Injection
【技術分享】python web 安全總結
安全工具
python正向連接后門
struts2 S2-016/S2-017 Python GetShell
Python多線程端口掃描工具
Python JSON Fuzzer: PyJFuzz
https://github.com/smartFlash/pySecurity
對象注入、底層安全
DEFENCELY CLARIFIES PYTHON OBJECT INJECTION EXPLOITATION
OWASP Python Security Project
Escaping a Python sandbox with a memory corruption bug
資源地址：
https://github.com/bit4woo/python_sec
如有侵權，請聯系刪除
