Flask开启Debug模式

世界尽头与你2026-01-24 8:59

1. 漏洞原理

在 Flask 中：

python 复制代码

app.run(debug=True)
# 或
FLASK_ENV=development
FLASK_DEBUG=1

会启用 Werkzeug Debugger，其核心功能是：自动重载代码，显示完整异常堆栈，并且会提供一个交互式 Python 控制台（Console）

一般来讲，在生产环境中，一旦可被访问，等同于远程代码执行（RCE）

想要弹出debug页面，需要网站本身抛出一个未被捕获的异常，高版本的 Flask 有一个 PIN 来保护 Console 页面，防止任意代码执行，但是这个 PIN 生成的算法相对固定，可以被破解

Console 可能导致RCE，即使无法实现RCE，也会导致信息泄漏：

漏洞实际的危害根据可利用的程度来定

禁用 debug 模式：

python 复制代码

app.run(debug=False)

或者：

bash 复制代码

export FLASK_ENV=production