Flask debug 模式 PIN 码生成机制安全性研究笔记

tonghuaroot.com ；网络安全爱好者；不是黑客；

0x00 前言

前几天我整理了一个笔记：Flask开启debug模式等于给黑客留了后门，就Flask在生产网络中开启debug模式可能产生的安全问题做了一个简要的分析。其中有一个比较严重的安全问题是，可以在交互式Python shell中执行自定义Python代码。就这一点来讲，在旧版本的Flask中是不需要输入PIN码认证就可以执行代码，其危害不言而喻。

在新版本的Flask中需要输入PIN码进行认证，才能执行自定义代码，于攻击者来说，这显然有点鸡肋了。

而后，偶然中发现，在同一台机器上，多次重启Flask服务，PIN码值不改变。也就是说PIN码是一个固定值，这极大的引起的我的兴趣。

于是，笔者就PIN码的生成机制做了一些学习研究，便有了本文。

0x01 基础环境

Windows 7 x64

Python 2.7.14

Flask 0.12.2

pdb

0x02 PIN 码生成流程分析

最开始在是在周会上，几位大佬就PIN码可能的生成方式发表了自己的看法。会后 @Royal.师傅指出了PIN码生成的关键函数，提点了我一发。

奈何静态分析起来有些吃力，要是能有个工具可以在程序执行时，对其下断点，一步一步的跟踪，那还是极好的。后来向ph师傅@周佩雨请教后，其向我推荐了pdb，简单理解pdb就是一个调试Python用的调试器（墙裂推荐！玩出了二进制安全的快感！2333）。

so，在分析Flask程序执行流程，直到定位到PIN码生成函数这段过程，都会大量依赖pdb，来梳理函数间的调用关系。

示例代码依旧使用上一篇文章中的测试代码：

# -*- coding: utf-8 -*-
import pdb
from flask import Flask
app = Flask(__name__)

@app.route("/")
def hello():
    return Hello

if __name__ == "__main__":
    pdb.set_trace()
    app.run(host="127.0.0.1", port=80, debug=True)

值得注意的是，我在第1行import pdb，第11行pdb.set_trace()，就是在app.run()函数前下断点。关于pdb的常用命令，不需要再去其他博文中补充知识。用到哪个，我都会简单介绍下。

第1步：启动该Flask应用（其会在app.run()函数前断掉）

第2步：使用s命令，进入app.run()函数中（C:\Python27\Lib\site-packages\flask\app.py 第782-846行），多次输入n命令（执行下一行），抵达第841行的run_simple()函数

按s命令，进入run_simple()函数。多次执行n命令，抵达C:\Python27\Lib\site-packages\werkzeug\serving.py 第736行，创建DebuggedApplication对象的位置（即创建对象的过程会执行DebuggedApplication类的__init__构造方法）。

按s命令，步入DebuggedApplication类的实现代码（C:\Python27\Lib\site-packages\werkzeug\debug\__init__.py 第199-468行）中：

根据文件名称、类名称等可以推断出，这部分中就会有生成PIN码的关键代码。

顺便提一句，

Flask is a microframework for Python based on Werkzeug, Jinja 2 and good intentions.

Flask是基于Werkzeug和Jinja 2的Web框架。研究Flask的PIN码生成机制，就是研究Werkzeug的PIN码生成机制。

继续向下跟，第251行和第262行之间

有一个判断操作，如果PIN启用的话，及self.pin存在值，则会通过_log()函数，将PIN码打印到终端。

ok，那我们现在只要在程序执行到if self.pin is None:时。进入self.pin，查看其实现方式即可（这里用到了Property的概念，简单理解在Python的类中，针对类中的成员变量，提供了Property，方便定义get和set方法，方便对该变量取值和赋值。详细内容可以在参考链接中查看）。

第266行，通过get_pin_and_cookie_name()函数对PIN码进行赋值

继续跟进get_pin_and_cookie_name()函数（第115-196行），重头戏来了！

在这个函数中，前几行定义了pin、rv、num 3个变量值为None（在调试器中使用【pp 变量名】即可查看变量值）。其中根据函数的返回值，rv的值就是我们要重点关注的PIN码，在这个函数的执行流程中，需要重点关注rv变量的赋值。

由于PIN的值为None，so第108-137行两个if判断均不会执行，继续向下走。

modname变量被赋值为“flask.app”

继续向下执行，在第145行username = getpass.getuser()，username变量被赋值为“当前登录服务器的用户名”。向下执行，mod被赋值为<module 'flask.app' from 'C:\Python27\lib\site-packages\flask\app.pyc'>。

继续向下执行，第151-168行，是生成PIN码的储备阶段，对多个变量进行了赋值。

下图为各变量此时的值

通过h.hexdigest()函数可以获得h的MD5值（后面会用到）。

根据上图的执行流程，先来看下169-174行的for循环，循环次数即为前面那一坨变量值得数量，共6次。

第1次循环，将“当前机器用户名”的MD5形式存入h变量中。

第2次循环，将“当前机器用户名”+flask.app的MD5形式存入h变量中。

...

第6次循环，将以上6个值的MD5形式存入h变量中

第175、182行将两个固定的字符串加入其中。变量num的值为MD5值16进制的前9位，经过187-194行代码处理，以111-222-333形式输出。

0x03 PIN 码的生成流程安全么？

通过0x02小结，现在已经摸清了PIN码的生成流程。我们可以知道PIN码的值由【当前计算机用户名：XXX】、【flask.app】、【Flask】、【C:\\Python27\\lib\\site-packages\\flask\\app.pyc】、【str(uuid.getnode())】、【get_machine_id()】组合获得，缺一不可。

【flask.app】、【Flask】已知。

绝对路径可以由debug页面的报错信息获得，【C:\\Python27\\lib\\site-packages\\flask\\app.pyc】也能拿到。

现在的问题是，如何获得【当前计算机用户名：XXX】、【str(uuid.getnode())】、【get_machine_id()】3个变量的值。

先来看下Flask自动义的get_machine_id()函数（C:\Python27\Lib\site-packages\werkzeug\debug\__init__.py 第51-101行）