CVE-2019-14234 Django JSONField SQL注入漏洞

已于 2022-06-25 19:58:34 修改
阅读量1.6k 收藏 6
点赞数
分类专栏： 漏洞复现 POC 文章标签： python 安全
于 2022-06-25 15:46:02 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45260839/article/details/125460303
版权

一、漏洞概述

Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。该漏洞的出现的原因在于Django中JSONField类的实现，Django的model最本质的作用是生成SQL语句，而在Django通过JSONField生成sql语句时，是通过简单的字符串拼接。

二、影响版本

  • Django 主开发分支
  • Django 2.2.x < 2.2.4
  • Django 2.1.x < 2.1.11
  • Django 1.11.x < 1.11.23

三、漏洞原理

　　其实这是一个SQL注入的另一种形式——ORM注入（Object Relational Mapping）

　　1.ORM是什么：ORM 是写程序时的一种写法，以前写程序查数据库的时候都是代码加 sql 语句写到一起，程序庞大后就很难管理，很难维护。后来就把程序和 sql 语句分开了。同时 ORM 把 sql 的写法进行了封装，程序调用更为方便，能让程序员真正的去关注逻辑层代码，去面向对象编程；

　　2.该漏洞成因：queryset中有transform和lookup两个方式，分别被作用于“通过外键连接两个表”和“通过什么方式与里面的值进行比对（默认情况下是exact）”。所以只要是控制了queryset的键名，注入就水到渠成了，但这里有一个问题就是.filter( )里的键名是没有办法控制的，能控制的只有键值。但有一种情况，就是开发者把用户传

最低0.47元/天 解锁文章
wavesky111
关注
  • 0
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CVE-2019-11708：针对Windows 64位版本的Firefox的完整漏洞利用链（CVE-2019-11708和CVE-2019-9810）
02-04
CVE-2019-11708和CVE-2019-9810的全链漏洞利用 这是针对Windows 64位Firefox的完整的浏览器入侵漏洞利用链（CVE-2019-11708和CVE-2019-9810）。 它使用CVE-2019-9810在内容流程以及父流程中获取代码执行，并使用CVE-...
CVE-2019-14234漏洞复现（SQL注入）
weixin_71090536的博客
09-23 353
漏洞环境（路径）：vulhub / django / CVE-2019-14234。1. 首先，使用用户名和密码登录 Django-Admin。用户名密码为：admin / a123123123。即表明此处含有 SQL 注入漏洞。3. 在其 URL 中添加 GET 参数。
python框架漏洞
weixin_68408599的博客
12-10 1353
此博客讲述的是基于python框架的各种漏洞复现以及原理，包括sql注入以及ssti模板注入进行复现的过程，以及造成漏洞形成的粗略原理，靶场环境来自vulhub。
Django执行查询-查询JSONField
最新发布
Python老吕的博客
06-05 820
当你发现标准查询操作符无法满足需求时，你可以通过Django的查询表达式（Query Expressions）来构建更复杂的查询。例如，你可以使用F对象来引用模型字段的值，并与其他表达式组合以进行自定义过滤。# 假设你想找到data字段中key对应的值大于某个特定值的所有记录).filter(在这个例子中，annotate方法用于创建一个临时的注解字段key_value，它包含了data字段中key对应的值。然后，你可以对这个注解字段使用标准的查询操作符进行过滤。Django的JSONField。
16 - vulhub - Django JSONField/HStoreField SQL注入漏洞（CVE-2019-14234）
易编橙 · 终身成长社群，相遇已是上上签！
11-03 1169
Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。 什么是JSONField，Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。 相比于Mysql，Postgresql支持的数据类型更加丰富，其对JSON格式数据的支持也让这个关系型数据库拥有了NoSQ
【WEB攻防】【CVE-2019-14234】Django JSONField SQL注入 复现
AAAAAAAAAAAA66的博客
12-19 1611
BMZCTF 【CVE-2019-14234】Django JSONField SQL注入
django SQL注入(CVE-2019-14234)
m0_65150886的博客
02-26 564
Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。Django采用了MTV的框架模式，即模型M，视图V和模版T，使用Django，程序员可以方便、快捷地创建高品质、易维护、数据库驱动的应用程序。在1.11.x before 1.11.23、2.1.x before 2.1.11和2.2.x before 2.2.4的版本中，Django存在安全漏洞，Django中使用了JSONField并且查询的“键名”可控，导致存在SQL注入漏洞。
Jackson 最新反序列化漏洞(CVE-2019-14361和CVE-2019-14439)
05-08
Jackson官方github仓库发布安全issue，涉及漏洞CVE-2019-14361和CVE-2019-14439，均是针对CVE-2019-12384漏洞的绕过利用方式，当用户提交一个精心构造的恶意JSON数据到WEB服务器端时，可导致远程任意代码执行。...
vulhub之CVE-2019-14234
u012871930的博客
03-20 344
web安全，sql注入，CVE-2019-14234，编码
buuctf [Django]CVE-2019-14234
qq_1873822的博客
03-23 818
漏洞描述 该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。 Django通常搭配postgresql数据库，而JSONField是该数据库的一种数据类型。该漏洞的出现的原因在于Django中JSONField类的实现，Django的model最本质的作用是生成SQL语句，而在Django通过JSONField生成sql语句时，是通过简单的字符串拼接。 通过JSONField类获得KeyTransform类并生成sql语句的
CVE-2019-14234——SQL注入漏洞
战神/calmness的博客
11-21 1678
CVE-2019-14234：Django JSONField SQL注入漏洞复现 你剥开一个很酸的橙子而感到后悔了,可对于橙子来说,那是它的一切. 该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。 漏洞概述: Django通常搭配postgresql数据库，而JSONField是该数据库的一种数据类型。该漏...
CVE-2019-14234 Django JSONField SQL注入漏洞复现
m0_48520508的博客
07-28 2506
0x01简介 Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。 什么是JSONField，Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。 相比于Mysql，Postgresql支持的数据类型更加丰富，其对JSON格式数据的支持也让这个关系型数据库拥有
Django CVE-2019-14234
weixin_44110913的博客
09-19 1047
CVE-2019-14234：Django JSONField SQL注入漏洞复现 你剥开一个很酸的橙子而感到后悔了,可对于橙子来说,那是它的一切. 该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。 漏洞概述: Django通常搭配postg...
Django JSONField/HStoreField SQL注入漏洞（CVE-2019-14234）
Beret-81的博客
06-15 628
Django JSONField/HStoreField SQL注入漏洞漏洞描述：环境搭建：漏洞复现： 漏洞描述： Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。 Django在2019年8月1日发布了一个安全更新，修复了在JSONField、HStoreField两个模型字段中存在的SQL注入漏洞。
CVE-2019-14234笔记
地址ch3nye.top
12-14 1041
Django JSONField/HStoreField SQL注入漏洞（CVE-2019-14234） 参考 https://www.leavesongs.com/PENETRATION/django-jsonfield-cve-2019-14234.html 练习靶场 https://github.com/vulhub/vulhub/tree/master/django/CVE-2019-14...
vulhub靶场cve-2019-14234
09-19
CVE-2019-14234是指vulhub靶场中的一个漏洞。这个漏洞是由于vulhub中的一个名为Fastjson的组件的安全缺陷引起的。Fastjson是一种广泛使用的Java JSON库，用于在Java应用程序中进行JSON转换。然而，Fastjson在处理特殊构造的JSON字符串时存在漏洞，攻击者可以利用这个漏洞执行任意的Java代码。 在CVE-2019-14234中，攻击者可以通过构造特定的JSON字符串并发送给受影响的应用程序来利用该漏洞。当应用程序使用Fastjson解析并处理该字符串时，恶意的Java代码将被执行。攻击者可以利用这个漏洞来执行远程代码，从而导致敏感信息泄露、服务器被入侵等危害。 为了防止CVE-2019-14234的攻击，可以采取多种措施。首先，更新vulhub中的Fastjson组件到最新版本，以获得最新的安全修复。其次，在编码和处理JSON数据时，应谨慎处理不受信任的输入。可以使用输入验证和过滤来确保传入的数据是符合预期的，并且不包含恶意的代码。 此外，安全审计和漏洞扫描工具也可以用于检测和修复CVE-2019-14234漏洞。通过定期扫描应用程序，可以及时发现和修复潜在的安全问题。最后，加强网络安全意识教育，提高开发人员和用户对网络安全的认识和理解，从而进一步提高防范和应对漏洞攻击的能力。 综上所述，CVE-2019-14234是vulhub靶场中的一个Fastjson组件漏洞，可以被攻击者利用来执行任意的Java代码。修复这个漏洞的方法包括更新Fastjson组件、输入验证和过滤、安全审计和漏洞扫描以及加强网络安全意识教育。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值