Django debug page XSS漏洞（CVE-2017-12794）

最新推荐文章于 2024-03-20 00:22:19 发布
最新推荐文章于 2024-03-20 00:22:19 发布
阅读量208 收藏
点赞数
分类专栏： CVE
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/bring_coco/article/details/117732579
版权

复现环境：vulhub
1.开启该环境
命令：docker-compose up -d
在这里插入图片描述
2.访问网址：127.0.0.1:8000/create_user/?username=<script>alert(2)</script>
在这里插入图片描述
显示成功创建一个用户
3.再次访问该网址：127.0.0.1:8000/create_user/?username=<script>alert(2)</script>
在这里插入图片描述
弹出XSS弹窗。

番茄酱料
关注
专栏目录
XSS漏洞复现（CVE-2017-12794）
m0_56578216的博客
08-30 481
前提条件：1.
[ vulhub漏洞复现篇 ] Django debug page XSS漏洞 CVE-2017-12794
qq_51577576的博客
09-29 1878
[ vulhub漏洞复现篇 ] Django debug page XSS漏洞 CVE-2017-12794 Django是Django软件基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。Django1.10.8之前的版本和1.11.5之前的1.11.x版本中的Technical500Template存在安全漏洞，该漏洞源于程序没有正确的过滤用户提交的输入。远程攻击者可利用该漏洞在浏览器中执行任意脚本代码。
Django1.11.4 XSS漏洞复现（CVE-2017-12794）
m0_63699746的博客
07-20 310
Django是重量级选手中最有代表性的一位。首先定义了dj错误类型数组，以及获取了db的错误类型，判断出现错误类型是否在db的错误类型中，如果存在，则将dj.exc.value.__cause__=exc.value (图上没有可能是因为在1.11.5版本下)，直接将错误的值传给__cause__，而在500页面中会输出__cause__的值。docker启动vluhub中的CVE-2017-12794的漏洞环境。新版本1.11.5，修复了1.11.4中500页面中可能存在的一个XSS漏洞。
Django_debug_page_XSS漏洞 CVE-2017-12794 漏洞复现
ADummy的博客
02-22 346
Django debug page XSS漏洞(CVE-2017-12794) by ADummy 0x00利用路线 ​ Burpsuite抓包改包—>用户创建成功—>成功登录 0x01漏洞介绍 ​ Django默认配置下，如果匹配上的URL路由中最后一位是/，而用户访问的时候没加/，Django默认会跳转到带/的请求中。（由配置项中的django.middleware.common.CommonMiddleware、APPEND_SLASH来决定）。在path开头为//example.
buuctf [Django]CVE-2017-12794
qq_1873822的博客
03-31 614
漏洞描述 Django是Django软件基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。Django1.10.8之前的版本和1.11.5之前的1.11.x版本中的Technical500Template存在安全漏洞，该漏洞源于程序没有正确的过滤用户提交的输入。远程攻击者可利用该漏洞在浏览器中执行任意脚本代码。 https://blog.csdn.net/zy15667076526/article/details/111134982 漏洞影响 Djang
Django debug page XSS漏洞-测试XSS
Fisher的安全日记
10-28 297
漏洞复现： 1.创建个用户：ip:8000/create_user/?username=<script>alert(document.cookie)</script> 显示用户已创建。 2.触发漏洞，再次访问ip:8000/create_user/?username=<script>alert(7)</script> 3.触发异常：duplicate key value violates unique constraint "xss..
14 - vulhub - Django debug page XSS漏洞（CVE-2017-12794）(1)
最新发布
2401_83621136的博客
03-20 821
我们可以看看代码，的__exit__函数：defreturnDataError,Error,):’):exc_value.
利用Vulnhub复现漏洞 - Django debug page XSS漏洞（CVE-2017-12794）分析
JiangBuLiu的博客
07-02 2059
Django debug page XSS漏洞（CVE-2017-12794）分析Vulnhub官方复现教程漏洞原理漏洞复现启动环境创建用户触发漏洞漏洞利用 Vulnhub官方复现教程 https://vulhub.org/#/environments/django/CVE-2017-12794/ 漏洞原理 在使用Postgres数据库并触发异常的时候，psycopg2会将字段名和字段值全部抛出。...
Django debug page XSS漏洞
OldBowl
12-06 958
Django debug page XSS漏洞（CVE-2017-12794）学习
红队系列-网络安全知识锦囊(持续更新)
aming小老弟
11-09 1354
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
14 - vulhub - Django debug page XSS漏洞（CVE-2017-12794）
易编橙 · 终身成长社群，相遇已是上上签！
10-25 721
Django 是一个由 Python 编写的一个开放源代码的 Web 应用框架。 使用 Django，只要很少的代码，Python 的程序开发人员就可以轻松地完成一个正式网站所需要的大部分内容，并进一步开发出全功能的 Web 服务， Django 本身基于 MVC 模型，即 Model（模型）+ View（视图）+ Controller（控制器）设计模式，MVC 模式使后续对程序的修改和扩展简化，并且使程序某一部分的重复利用成为可能。
CVE-2017-12794 存储型xss漏洞
m0_63034363的博客
07-09 1072
CVE-2017-12794 存储型xss漏洞 主要是因为数据库报错将恶意代码爆出造成xss弹框
vulhub靶场漏洞复现——Django-XSS(CVE-2017-12794)
pigzlfa的博客
09-26 215
物理机访问8000端口，是一个404页面。刷新页面再次创建用户触发错误弹窗。
CVE-2017-12794_Django debug page XSS漏洞
mirocky的博客
12-28 681
3、向数据库中插入相同数据，Django报错，数据被打印且执行。对打印的exception进行了HTML转义。2、首次向数据库中插入数据，成功插入。1、vulhub搭建环境。
【WEB攻防】报错也能XSS?【CVE-2017-12794】Django debug page XSS 漏洞 复现+学习过程
AAAAAAAAAAAA66的博客
12-21 1777
。https://baike.so.com/doc/24210940-24838928.html 思考 现在学了也有一定时间了，大多数漏洞的成因都依赖着代码，深入的理解代码的逻辑，就越有可能挖掘出漏洞，另外，这个漏洞其实作用并没有那么大，只是一般人根本想不道报错页面可以xss而且还是像这种类似二次注入的XSS，复现的过程中，我也试着插入其他语句，发现语句太长，或者是包含英文，都会被报错过滤掉，所以实际危害没有那么大
Django debug page XSS漏洞（CVE-2017-12794）漏洞复现
huayimy的博客
05-11 437
Django debug page XSS漏洞（CVE-2017-12794）漏洞复现
django/CVE-2017-12794XSS漏洞复现
weixin_56537388的博客
08-31 1003
alert(1)
CVE-2017-12794
10-07
CVE-2017-12794是一个影响Django框架的安全漏洞。这个漏洞源于Django框架中的Technical 500 Template没有正确过滤用户提交的输入。攻击者可以利用这个漏洞在浏览器中执行任意的脚本代码，从而导致跨站脚本攻击（XSS...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值