В ходе исследования непонятного бага с битой кодировкой в именах загружаемых файлов мы столкнулись с непредвиденным поведением популярной библиотеки aiohttp. Решая эту проблему, мы получили полезный опыт, которым хочу с вами поделиться. Читать далее
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. aiohttp v3.8.4 and earlier are bundled with llhttp v6.0.6. Vulnerable code is used by aiohttp for its HTTP request parser when available which is the default case when installing from a wheel. This vulnerability only affects users of aiohttp as an HTTP server (ie `aiohttp.Application`), you are not affected by this vulnerability if you are using aiohttp as an HTTP client library (ie `aiohttp.ClientSession`). Sending a crafted…
Содержание- Что такое уязвимости загрузки файлов?- Выявление уязвимостей при загрузке файлов- Эксплуатация простых уязвимостей загрузки файлов- Продвинутая эксплуатация уязвимостей при загрузке файлов- ЗаключениеУязвимости в загрузки файлов интересны для поиска, они по…
RealWorld: aiohttp, Tortoise ORM На Real World отсутствует пример для aiohttp, и я решил его сделать. Опытным разработчикам, похоже, некогда этим заниматься, а начинающим в aiohttp непонятно как делать правильно. Я начал его делать с помощью Tortoise ORM. Пока начал делать аутентификацию. Хочется сделать этот проект правильно, поэтому под катом очень много вопросов опытным aiohttp разработчкам. Читать дальше →