是否存在已知的Python pickle病毒？探讨pickle模块安全风险

首先明确回答：确实存在利用 Python pickle 模块漏洞的恶意代码，包括具备传播性的“病毒式” payload。这类恶意程序完全利用了 pickle 反序列化时会执行任意 Python 代码的特性，和你提到的“感染性”病毒特征高度吻合。

为什么 pickle 容易被用来制作恶意代码？ #

Python 的动态特性让构造恶意 pickle 数据的门槛极低：当你对 pickle 数据反序列化时，程序会执行对象的 __reduce__ 方法返回的逻辑——攻击者只需构造一个恶意对象，让其 __reduce__ 调用系统命令、删除文件、下载恶意软件，甚至实现自我复制传播到其他可访问的 pickle 存储（比如共享缓存文件、数据库 blob 字段等）。

举个最简单的恶意 payload 示例（仅作演示，请勿实际运行）：

import pickle
import os

class MaliciousPayload:
    def __reduce__(self):
        # 这里可以替换为任意恶意操作，比如下载病毒、删除文件
        return (os.system, ("echo 'Pickle 恶意代码已执行!'",))

# 序列化恶意对象
malicious_data = pickle.dumps(MaliciousPayload())

# 反序列化瞬间就会触发命令执行
pickle.loads(malicious_data)

已知的 pickle 恶意利用案例 #

• 渗透测试常用手段：很多红队工具会用 pickle 在目标系统上执行代码，比如通过钓鱼发送包含恶意 pickle 数据的文件，诱导用户执行反序列化操作。
• 供应链攻击场景：如果原本可信的服务（比如内部缓存系统、数据共享平台）被攻陷，攻击者可以注入恶意 pickle 数据，当其他信任该服务的用户反序列化数据时就会中招，这类攻击已在真实企业场景中出现过。
• 自我传播的恶意程序：虽然不像传统 Windows 病毒那样广泛传播，但确实存在能自我复制的 pickle 恶意代码——比如遍历网络共享目录，将自身写入其他 Python 程序可能读取的 pickle 文件中。

关于“被攻陷的可信来源”的风险 #

你的担忧完全合理：官方给出的“永远不要反序列化不可信数据”只是基础要求，一旦原本可信的来源被攻陷，其提供的 pickle 数据同样极具危险性。因为大多数开发者不会对可信来源的数据做额外验证，这恰好给了攻击者可乘之机。

实用防护建议 #

• 优先选择安全的序列化格式：比如 JSON、MessagePack 这类不会执行代码的格式，从根源上避免 pickle 的风险。
• 必须使用 pickle 时，添加完整性验证：比如用数字签名确保数据没有被篡改，只有签名合法的数据才进行反序列化。
• 限制反序列化的权限范围：比如使用 pickle.Unpickler 的 find_class 方法，禁止加载 os、subprocess 这类危险模块，只允许加载业务必需的类。

内容的提问来源于stack exchange，提问作者abukaj