Карточка Senior Инъекции: SQL, NoSQL, команды обновлено
Небезопасная десериализация
Вопрос
Почему pickle.loads или нативная Java-сериализация недоверенных данных опасны?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Формат описывает объекты и их восстановление, и злоумышленник может собрать данные, при разборе которых выполнится произвольный код. Для обмена используют JSON со схемой, а подписанные форматы только от доверенных источников.
Ответ
Формат описывает объекты и их восстановление, и злоумышленник может собрать данные, при разборе которых выполнится произвольный код. Для обмена используют JSON со схемой, а подписанные форматы только от доверенных источников.
Разбор
В OWASP Top 10 это входит в категорию нарушений целостности ПО и данных.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.