CVE-2020-7471 Django SQL注入漏洞复现
CVE-2020-7471 Django SQL注入漏洞复现
0x01漏洞简介
CVE-2020-7471：通过StringAgg（分隔符）的潜在SQL注入
django.contrib.postgres.aggregates.StringAgg聚合函数使用适当设计的定界符进行了SQL注入。
Django是高水准的由Python编程语言驱动的一个开源Web应用程序框架，起源于开源社区。使用Django，程序员可以方便、快捷地创建高品质、易维护、数据库驱动的应用程序，应用广泛。2月11日，绿盟科技监测发现此漏洞PoC已公开，请相关用户尽快升级Django至修复版本，修复此漏洞。
参考链接： https://www.djangoproject.com/weblog/2020/feb/03/security-releases
0x02 影响范围
受影响版本：
- Django 1.11.x < 1.11.28
- Django 2.2.x < 2.2.10
- Django 3.0.x < 3.0.3
- Django 主开发分支
不受影响产品版本：
- Django 1.11.28
- Django 2.2.10
- Django 3.0.3
0x03 漏洞复现
- ·复现靶机kalil 2019.3
- ·复现Django版本 3.0.2
一、环境部署
通过git先获取到漏洞的环境与poc
git clone https://github.com/Saferman/CVE-2020-7471.git
1、 安装 django 漏洞版(3.0.2)
pip3 installdjango==3.0.2 -i https://pypi.tuna.tsinghua.edu.cn/simple
2、安装postgre 数据库
apt-get installpostgresql-11
我这里的postgre 默认的就已经安装了这个版本了所以就没有装，大家如果没有装的需要安装
3、启动postgre 数据库
service postgresql start
没有回显是正常的，如果担心可以看一下端口有没有开启postgre端口为5432
4、连接postgre 数据库在安装完毕后，系统会创建一个数据库超级用户 postgres并且密码为空。然后我们以管理员身份 postgres 登陆（注：这里postgres是系统用户）
sudo -i -u postgres 
5、切换到postgres这个用户之后我们输入psql进入postgres的shell，并且我们可以看到我们这里psql的版本是11.5的
6、到这一步之后我们修改postgre的密码为root并创建一个zerosec的数据库
ALTER USER postgres WITH PASSWORD 'root';
CREATE DATABASE zerosec;
7、 把之前git下载好的文件打开修改配置文件~/CVE-2020-7471/sqlvul_project/settings.py
8、 找到第78行DATABASES修改databases里面的配置信息
修改前
修改后
9、使用django初始化数据表分别执行一下几句
python3 manage.py migrate
python3 manage.py makemigrationsvul_app
这里no changes …. 不要紧的可以不用care
python3 manage.py migrate vul_app
这里的no migration to apply 可以不用care 走形式
这样初始化环境就已经全部完成了。
二、 进入攻击环节（想必有同学要问了 数据库里面木有数据怎么办 别急接着往下看）
回到我们之前的psql shell中我们执行 “\c zerosec”
\c zerosec 的意思是选择zerosec数据库
然后我们\d 看一下数据库中所有的表
我们查询一下我们要利用到的vul_app_info 中的内容
可以看到这里是空的，那么不要激动，经过我分析之后发现本来应该要在
python3 manage.py makemigrations vul_app 这一步的时候要执行sql语句的但是我发现migrations 里面初始化的数据是空的，那么问题来了数据跑去哪了呢 经过后面发现 在poc中有一段代码是用来导入数据的。
好了 到这里大家应该就明白接下来要做什么了
执行POC代码
这时候我们再去查询一下数据库。
数据就进去了，当然这不是重点 重点是我们poc执行成功了。
在POC中我们可以看到作者用了\‘转义了’的实意，从而构成了后面语句的拼接。
到这里本次复现就结束了，下周会分析CVE-2020-7471的漏洞成因。