Python Web Debug 模式利用

Python Web 框架的 Debug 模式是开发者留下的最危险的配置错误之一——Werkzeug debugger 直接提供交互式 Python shell（RCE），Django DEBUG=True 泄露完整配置和源码路径，FastAPI /docs 暴露所有 API 接口。

Phase 0: 快速识别

信号	框架	危害等级
`/console` 路径可访问	Flask/Werkzeug	🔴 RCE（需 PIN）
错误页面显示 Werkzeug Debugger	Flask	🔴 RCE
黄色错误页面 + `Settings` + `Traceback`	Django	🟠 信息泄露
`/docs` 或 `/redoc` 可访问	FastAPI	🟡 API 暴露
错误页面含 Python traceback + 源码路径	任意	🟡 信息泄露
`X-Powered-By: Werkzeug` 或 `Server: Werkzeug`	Flask	识别框架
404 页面含 `Not Found. The requested URL was not found`	Flask 默认	识别框架

Werkzeug debugger 在 Debug 模式下提供交互式 Python console，但自 Werkzeug 0.11+ 起需要 PIN 码验证。