面向公网的Flask Web服务器是否存在被黑客入侵的风险？

你收到的这些都是全网自动化扫描脚本批量探测phpMyAdmin管理入口的常规流量，属于公网服务器的常见「背景噪音」，你的Flask服务本身没有对应PHP路由，全部返回404属于正常响应，暂时没有风险。

关于你问的文件访问范围问题，没有绝对的限制结论，具体能访问到多少文件取决于三个核心条件：

• 你的Flask代码是否存在路径穿越类漏洞：如果你的服务有提供文件读取/下载的功能，代码里直接把用户传入的文件名参数拼接成路径读取，没有做路径合法性校验，黑客就可以通过传入../../../etc/passwd这类跨目录路径，读到Web服务目录之外的文件，只要是运行Flask的系统用户有权限读的文件都可能被拿到。如果你的代码没有任何读取本地文件的逻辑，所有路由都是你手动定义的业务逻辑，那黑客根本没有入口读取服务器文件。
• 运行Flask进程的系统用户权限：如果你直接用root用户启动Flask服务，一旦出现代码漏洞，黑客就能读写整台服务器几乎所有文件；如果用单独创建的、只分配了Web目录必要权限的低权限用户运行服务，哪怕出漏洞，影响范围也只会局限在该用户有权限访问的文件里，不会波及系统核心配置或其他业务的文件。
• 反向代理配置是否存在缺陷：如果你在Flask前面搭了Nginx等反向代理做静态资源分发，配置静态目录的root/alias规则时存在逻辑错误，也可能导致路径穿越漏洞，让黑客拿到静态目录外的文件。

正常情况下只要你做好以下几点，就可以把访问范围严格限制在可控范围内：

• 永远不要用root用户运行Web服务，单独创建低权限用户运行Flask，仅给该用户分配Web目录必要的读写权限
• 所有涉及用户输入拼接文件路径的逻辑，必须做路径校验：将拼接后的路径解析为绝对路径，判断是否落在你允许访问的目录前缀下，只要不在范围内就直接拒绝请求
• 不需要提供文件读取功能的话，就不要写相关逻辑，所有未知请求直接返回404即可

内容的提问来源于stack exchange，提问作者spn161