# Python pickle解压时可能存在安全风险

如果解压对像中有重构的reduce操作, pickle.loads时会执行reduce方法中的内容.



比如:
```
import io
import os
import pickle

class BadCode(object):
 def __reduce__(self):
 return (os.system, ('echo fuckyou!',))


bc = BadCode()

bbb = pickle.dumps(bc)
pickle.loads(bbb)
```

限制方法, 重载一下Unpicke方法, 只解压特定类型的对像.

```
class RestrictedUnpickler(pickle.Unpickler):
 def find_class(self, module, name):
 print(module, name)
 if module == "builtins" and name in {"str", "list", "dict", "set", "int", "float", "bool"}:
 return getattr(__import__(module), name)
 raise pickle.UnpicklingError(f"global '{module}.{name}' is forbidden")
 def load_reduce(self):
 # 禁止使用 reduce
 raise pickle.UnpicklingError("reduce() is not allowed")

def restricted_loads(s):
 return RestrictedUnpickler(io.BytesIO(s)).load()


ok = restricted_loads(bbb)

print('ok: ',ok)
```

Python pickle解压时可能存在安全风险

借用Ultralytics Yolo快速训练一个物体检测器

Ubuntu 24.04 自带远程桌面啦, 在 Setting --> System --> Desktop Sharing 中可以开启远程桌面共享和远程控制, 默认使用3390端口, 开启远程服务后, 在Windows机器中就可以用自带的远程桌面软件连接Ubuntu桌面了.

另外一种可选方案是Remote Logging，但启用此功能会导致当前用户被自动注销，进而使得该用户桌面上所有运行中的应用程序被迫关闭。因此，建议仅启用桌面共享（Desktop Sharing）功能。经测试，桌面共享除无法自动调整分辨率（可通过手动更改显示设置来解决）以及在某些3D应用程序中鼠标操作可能出现问题（这是远程访问软件常见的局限性之一）外，其他各项功能均表现良好。





Ubuntu 24.04自带RDP远程桌面

Linux下很多GUI程序没有启动项, 还是需要用terminal中输命令来启动, 这些GUI软件虽然启动后不需要终端但还是要占个终端的窗口. 有没有好办法不用开这么多终端呢?

有下面一些解决办法:

1. 在screen 或 tmux 这样的终端复用软件中启动GUI软件, 然后把运行GUI程序的终端切到后台, 本质上还是需要一个终端, 只是把终端放在后台了.

2. `xxx & disown` 的方式启动软件, 然后让它与终端切断关系自动到后台去. 这样terminal也就可以直接关掉了.



在Linux中, 让从命令行启动的GUI程序不用再占用终端

# 常用远程工具分享

我个人远程桌面使用场景是用一台Windows的笔记本连接多个不同地方的windows主机或linux主机, 进行编程和Unity相关开发. 也尝试过用安卓平板和IPAD来远程办公. 因此, 尝试过很多的远程方案. 对于远程软件在不同系统的兼容性, 外网连接的稳定性, 不同分辨率的适匹性, 3D软件对鼠标的支持等都踩过坑, 在这里也分享一下远程桌面类软件的使用经验.





<h1 id="U8ovF">远程桌面类</h1>


**微软远程桌面** windows电脑间最好的远程工具, 系统自带, 非常稳定. 如果你只需要远程写点代码打点字, 系统自带的远程桌面就是最佳选择, 服务器版的windows还支持多用户共用一台机器. 其缺点是只能在局域网中使用 (可用端口转发解决), 不能调用显卡所以不能用来玩游戏或其它需要调图形API的软件. 



**向日葵** 老牌远程软件, 有windows/linux/安卓/web等各平台的客户端. 稳定性比较好, 远程兼容性好,. 会员价格100元左右. 向日葵公司做网络服务已经有很多年了, 在国内的网络线路质量非常好, 连接稳定性不是问题. 其linux客户端做的也不错, 完成度很高.



**ToDesk** 最近几年新出的远程软件, 刚出来时还行, 但目前口碑不是很好, 在v2ex上能看到大量差评, 包括但不限于收费标准奇葩, 官方人员随便透露个人用户的连接记录, 后台安全性有问题等等, 整一个草台班子. ToDesk有windows/linux/mac/安桌/ios/web等各平台的客户端. 但只有windows平台客户端比较好用, 其它平台的支持很差. 它的linux版本很占cpu且有内存泻漏问题, 软件bug过多, 官方对维护的积极性很低, 在linux上无论做为客户机还是服务端其可用性都不高. ToDesk的付费网络线路质量还行, 可能是为了防滥用的原因, 其对免费用户限制连接次数(仅止一家). 会员价格100元左右一年. 远程流畅性好, 对软件兼容性好. ToDesk的稳定性在windows上是可以的, 可做为备份的远程工具. 



**TeamViewer** 远程软件中的老大哥, 目前对免费帐号限制很多, 会频繁报商用警告. 马克丁接手后其其对免费用户几乎处于不可用状态. TeamViewer软件的售价很高, 性价比奇低. TeamViewer有各个平台的客户端, 远程桌面使用流畅, 对软件兼容性好. 在局域网中可以用直输IP的方式进行远程, 从而化身为免费的局域网远程工具.



**AnyDesk** 类似TeamView, 软件很成熟, 软件兼容性好, 但免费用户的远程速度很慢画面很卡. 价格方面没了解过.



**SplashTop ** 老牌远程软件, 远程非常流畅, 兼容性好. 有windows/mac/ios各平台下的客户端, 价格比较高. 有一个限制5台设备的个人体验版价格在10美元左右一年, 体验还不错. 但该版本不提供Linux客户端. 设备比较少的用户可以尝试这个软件.



**RealVNC ** 使用VNC技术的远程软件, 技术过于落后, 在网络不好时画面卡顿和撕裂严重. 不推荐使用.

<h1 id="K1E7I">视频串流类</h1>
串流软件的一大特点是能够提供高质量的视频传输，确保画面清晰度高，同时还能将延迟控制在较低水平. 然而，要达到这样的性能表现，需要有充足的带宽支持20M以上，以及对串流主机的硬件配置和处理能力有较高标准，以保证流畅且无损的串流体验。



1. **MoonLight** Steam中有一个借用N卡串流游戏的功能, MoonLight是一个开源的串流客户端, 可以用来配对并接收串流. 如果把计算器或记事本当做游戏启动串流, 就可以作为一个远程桌面工具使用. 如果觉得用Steam的游戏串流当远程桌面用很麻烦, 可以尝式Sunshine, 它是一个开源的封装好的串流服务器, 支持多个平台, 配合MoonLight就可以实现远程功能. MooLight对串流主机要求很高, 需要N卡. 主要设计目标是远程游戏, 对键鼠支持都很好, 但没为远程桌面优化, 开启远程后鼠标会完全卡在远程机器中, 要按块捷键才能退出远程并不是很方便. 



2. **Parsec** 一个串流商业软件, 提供外网访问功能, 但在国内基本没成功过, 提供多平台支持, 可以串流windows机器的画面, 在linux平台中, 只支持接收不支持串流. 这个软件对主机的要求很高, 很占显卡和CPU.



<h1 id="DXuKn">声音串流</h1>


**AudioReplay** 可以在局域网中分享你的音频. 传输质量与覆盖的范围都远超蓝牙. AudioReplay有windows 安卓 linux版的客户端, 可以在各个设备间共享声音. 缺点是没有加密, 局域网中所有的电脑都可以通过IP连接并接收声音.

[https://audiorelay.net/](https://audiorelay.net/)



<h1 id="nmQmU">端口映射类</h1>
1. frp 经典端口映射软件, 如果有公网IP的机器上可用它来把端口映射到外网, 从而实现远程访问. 可以把微软远程桌面进行转发从而实现外网访问等.



2. natfrp [https://www.natfrp.com/](https://www.natfrp.com/) 一个收费的frp中转服务器, 如果自已不想搭机器可以直接买它的服务. natfrp给的带宽和流量都比较足, 价格也不贵, 国内节点很多, 用于中转比较稳定.

<h1 id="DAqw1">远程软件对比</h1>


一个好用的远程桌面需要从如下几个方面进行评估.

1. **软件稳定**, 软件本身就需要稳定不出bug不掉链子, 需要的时候就要能连回去
2. **远程功能** 比如: 粘贴板共享 , 远程声音的收听, GPU程序的调用, 在客户端与主机不同分辨率条件下的适配.
3. **键鼠支持** 包括快捷键不冲突, 鼠标在3D程序中是否能正常使用, 客户机与主机之间不冲突容易切换等.
4. **外网访问** 是否可以从外网访问.
5. **远程平台**支持的平台是否齐全, 特别是对linux和mac是否支持等.
6. **会员价格**是否需要会员, 价格是否合理
7. **画面流畅**远程画面是否流畅, 画质, 帧率如何等.



我尝试过很多远程方案, 目前在实际使用中的选择是付费向日葵为主, 付费ToDesk为辅 (可能会放弃), 以保证连接可用性. 

以下是我对远程桌面类工具的评分, 如果你也是远程桌面的重度用户可以参考一下.

| 评分项 | **软件稳定** | **远程功能** | **键鼠支持** | **外网访问** | **远程平台** | **会员价格** | **画面流畅** | **总分** |
| --- | --- | --- | --- | --- | --- | --- | --- | --- |
| **微软远程桌面** | 5 | 3 不支持GPU | 5 | 0 不支持 | 1 只有windows | 5 | 5 | 24 |
| **向日葵** | 5 | 4 | 5 | 5 | 5 | 5 | 5 | 34 |
| **ToDesk ** | 3 除win外其它平台都不行 | 5 | 4 部分3D程序中鼠标支持有问题 | 5 | 3 平台很全, 但除win以外都不行 | 3 不贵, 但免费用户限制很多 | 5 | 28 |
| **TeamViewer ** | 5 | 5 | 4 | 2 免费用户限制过多 | 5 | 0 太贵 | 4 | 25 |
| **AnyDesk ** | 5 | 5 | 4 | 5 | 5 | 0 没了解过 | 2 卡慢 | 23 |
| **SplashTop** | 5 | 5 | 5 | 3 只有有限个客户端 | 3 Linux版要加钱 | 3 个人体验版价格合适 | 5 | 29 |
| **Sunshine+MoonLight** | 5 | 5 | 3 切换不便 | 0 | 4 需要N卡 | 5 | 5 | 27 |
| **Parsec ** | 4 占资源过多 | 5 | 5 | 1 有, 但国内几乎不能用 | 3 Linux下没有服务端 | 5 | 5 | 28 |