搜索

[19154] 2017-11-17_【动手实验】DjangodebugpageXSS漏洞复现

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-11-17_【动手实验】DjangodebugpageXSS漏洞复现 【 动 手 实 验 】 D j a n g o   d e b u g   p a g e   X S S 漏 洞 复 现 i 春 秋   2 0 1 7 - 1 1 - 1 7 近 期 ， D j a n g o 发 布 了 新 版 本 1 . 1 1 . 5 ， 修 复 了 5 0 0 页 面 中 可 能 存 在 的 一 个 X S S 漏 洞 ， 在 其 1 . 1 1 . 4 版 本 中 ， 我 们 重 点 关 注 的 就 是 d j a n g o / v i e w s / d e b u g . p y 。 此 文 件 存 在 X S S 漏 洞 ， 恶 意 访 问 者 可 利 用 其 漏 洞 获 取 敏 感 信 息 ， 甚 至 可 以 威 胁 到 服 务 器 安 全 。 D j a n g o 是 一 个 开 放 源 代 码 的 W e b 应 用 框 架 ， 由 P y t h o n 写 成 。 采 用 了 M V C 的 框 架 模 式 ， 即 模 型 M ， 视 图 V 和 控 制 器 C 。
D j a n g o   项 目 是 一 个 p y t h o n 定 制 框 架 ， 它 源 自 一 个 在 线 新 闻   W e b   站 点 ， 于   2 0 0 5   年 以 开 源 的 形 式 被 释 放 出 来 。 D j a n g o   框 架 的 核 心 组 件 有 ： 1 . 用 于 创 建 模 型 的 对 象 关 系 映 射 2 . 为 最 终 用 户 设 计 的 完 美 管 理 界 面 3 . 一 流 的   U R L   设 计 4 . 设 计 者 友 好 的 模 板 语 言 5 . 缓 存 系 统 。 今 天 让 我 们 学 习 一 下 D j a n g o   d e b u g   p a g e   X S S 漏 洞 原 理 、 如 何 利 用 漏 洞 、 及 其 修 复 方 法 吧 ~ 实 验 环 境 实 验 环 境
操 作 机 ： W i n d o w s   X P 目 标 机 ： U b u n t u 实 验 目 的 实 验 目 的 学 习 漏 洞 原 理 掌 握 漏 洞 简 单 的 利 用 方 法 学 习 如 何 对 漏 洞 进 行 修 复 以 及 防 御 措 施 实 验 内 容 实 验 内 容 漏 洞 介 绍 漏 洞 介 绍 D j a n g o 是 一 个 开 放 源 代 码 的 W e b 应 用 框 架 ， 由 P y t h o n 写 成 。 采 用 了 M V C 的 框 架 模 式 ， 即 模 型 M ， 视 图 V 和 控 制 器 C ， D j a n g o 也 是 C M S （ 内 容 管 理 系 统 ） 软 件 。 近 期 ， D j a n g o 发 布 了 新 版 本 1 . 1 1 . 5 ， 修 复 了 5 0 0 页 面 中 可 能 存 在 的 一 个 X S S 漏 洞 ， 在 其 1 . 1 1 . 4 版 本 中 ， 我 们 重 点 关 注 的 就 是 d j a n g o / v i e w s / d e b u g . p y 此 文 件 存 在 X S S 漏 洞 ， 访 问 者 可 利 用 其 漏 洞 获 取 敏 感 信 息 ， 甚 至 可 以 威 胁 到 服 务 器 安 全 。 影 响 版 本 影 响 版 本 1 . 1 1 . 4 版 本 实 验 步 骤 实 验 步 骤 步 骤 步 骤 1 ： 了 解 原 理 ： 了 解 原 理 我 们 首 先 对 比 1 . 1 1 . 4 和 1 . 1 1 . 5 版 本 的 差 异 ： 1 . 1 1 . 4  
1 . 1 1 . 5 可 见 ， 外 部 关 闭 了 全 局 转 义 ， 然 后 在 这 两 个 地 方 增 加 了 强 制 转 义 。 那 么 ， 漏 洞 肯 定 是 在 这 个 位 置 触 发 的 。 如 果 要 触 发 这 两 个 输 出 点 ， 就 必 须 进 入 这 个 i f 语 句 ： { %   i f c h a n g e d   f r a m e . e x c _ c a u s e   % } { %   i f   f r a m e . e x c _ c a u s e   % } 。   我 们 可 以 做 个 简 单 的 测
试 ， 在 D j a n g o 命 令 行 下 ， 我 们 创 建 一 个 u s e r n a m e 为 p h i t h 0 n 的 用 户 ， 然 后 再 次 创 建 一 个 用 户 ， 则 会 抛 出 一 个 I n t e g r i t y E r r o r 异 常 ： 见 上 图 ， 原 因 是 触 发 了 数 据 库 的 U n i q u e 异 常 。 为 什 么 D j a n g o 会 引 入 这 样 一 个 异 常 机 制 ？ 这 是 为 了 方 便 开 发 者 进 行 S Q L 错 误 的 调 试 ， 因 为 D j a n g o 的 模 型 最 终 是 操 作 数 据 库 ， 数 据 库 中 具 体 出 现 什 么 错 误 ， 是 D j a n g o 无 法 1 0 0 % 预 测 的 。 那 么 ， 为 了 方 便 开 发 者 快 速 找 到 是 哪 个 操 作 触 发 了 数 据 库 异 常 ， 就 需 要 将 这 两 个 异 常 回 溯 栈 关 联 到 一 块 。 我 们 可 以 看 看 代 码 ， d j a n g o / d b / u t i l s . p y 的 _ _ e x i t _ _ 函 数 ： d e f   _ _ e x i t _ _ ( s e l f ,   e x c _ t y p e ,   e x c _ v a l u e ,   t r a c e b a c k ) :         i f   e x c _ t y p e   i s   N o n e :                 r e t u r n         f o r   d j _ e x c _ t y p e   i n   (                         D a t a E r r o r ,                         O p e r a t i o n a l E r r o r ,                       I n t e g r i t y E r r o r ,                         I n t e r n a l E r r o r ,                         P r o g r a m m i n g E r r o r ,                         N o t S u p p o r t e d E r r o r ,                         D a t a b a s e E r r o r ,                         I n t e r f a c e E r r o r ,                         E r r o r ,         ) :               d b _ e x c _ t y p e   =   g e t a t t r ( s e l f . w r a p p e r . D a t a b a s e ,   d j _ e x c _ t y p e . _ _ n a m e _ _ )                 i f   i s s u b c l a s s ( e x c _ t y p e ,   d b _ e x c _ t y p e ) :                         d j _ e x c _ v a l u e   =   d j _ e x c _ t y p e ( * e x c _ v a l u e . a r g s )                       d j _ e x c _ v a l u e . _ _ c a u s e _ _   =   e x c _ v a l u e                         i f   n o t   h a s a t t r ( e x c _ v a l u e ,   ' _ _ t r a c e b a c k _ _ ' ) :                                 e x c _ v a l u e . _ _ t r a c e b a c k _ _   =   t r a c e b a c k                         #   O n l y   s e t   t h e ' e r r o r s _ o c c u r r e d '   f l a g   f o r   e r r o r s   t h a t   m a y   m a k e                         #   t h e   c o n n e c t i o n   u n u s a b l e .                         i f   d j _ e x c _ t y p e   n o t   i n   ( D a t a E r r o r ,   I n t e g r i t y E r r o r ) :                               s e l f . w r a p p e r . e r r o r s _ o c c u r r e d   =   T r u e                         s i x . r e r a i s e ( d j _ e x c _ t y p e ,   d j _ e x c _ v a l u e ,   t r a c e b a c k ) 其 中 e x c _ t y p e 是 异 常 ， 如 果 其 类 型 是 D a t a E r r o r , O p e r a t i o n a l E r r o r , I n t e g r i t y E r r o r , I n t e r n a l E r r o r , P r o g r a m m i n g E r r o r , N o t S u p p o r t e d E r r o r , D a t a b a s e E r r o r , I n t e r f a c e E r r o r , E r r o r 之 一 ， 则 抛 出 一 个 同 类 型 的 新 异 常 ， 并 设 置 其 _ _ c a u s e _ _ 和 _ _ t r a c e b a c k _ _ 为 此 时 上 下 文 的 e x c _ v a l u e 和 t r a c e b a c k 。 e x c _ v a l u e 是 上 一 个 异 常 的 说 明 ， t r a c e b a c k 是 上 一 个 异 常 的 回 溯 栈 。 这 个 函 数 其 实 就 是 关 联 了 上 一 个 异 常 和 当 前 的 新 异 常 。 最 后 在 5 0 0 页 面 中 ， _ _ c a u s e _ _ 被 输 出 。 步 骤 步 骤 2 ： 漏 洞 利 用 ： 漏 洞 利 用 经 过 技 术 人 员 测 试 ， 我 发 现 在 使 用 P o s t g r e s 数 据 库 并 触 发 异 常 的 时 候 ， p s y c o p g 2 会 将 字 段 名 和 字 段 值 全 部 抛 出 。 那 么 ， 如 果 字 段 值 中 包 含 我 们 可 控 的 字 符 串 ， 又 由 于 0 x 0 2 中 说 到 的 ， 这 个 字 符 串 其 实 就 会 被 设 置 成 _ _ c a u s e _ _ ， 最 后 被 显 示 在 页 面 中 。 所 以 我 们 假 设 有 如 下 场 景 ： ( 1 )   用 户 注 册 页 面 ， 未 检 查 用 户 名 ( 2 )   注 册 一 个 用 户 名 为 [ r e m o v e d ] a l e r t ( 1 ) [ r e m o v e d ] 的 用 户 ( 3 )   再 次 注 册 一 个 用 户 名 为 [ r e m o v e d ] a l e r t ( 1 ) [ r e m o v e d ] 的 用 户 ( 4 )   触 发 d u p l i c a t e   k e y 异 常 ， 导 致 X S S 漏 洞 这 时 候 ， 我 们 访 问 如 下 地 址 ： 1 7 2 . 1 6 . 1 2 . 2 : 8 0 0 0 / c r e a t e _ u s e r / ? u s e r n a m e = ＜ s c r i p t ＞ a l e r t ( 1 ) ＜ / s c r i p t ＞
再 次 访 问 ： 1 7 2 . 1 6 . 1 2 . 2 : 8 0 0 0 / c r e a t e _ u s e r / ? u s e r n a m e = ＜ s c r i p t ＞ a l e r t ( 1 ) ＜ / s c r i p t ＞
如 上 图 ， P o s t g r e s 抛 出 的 异 常 为 d u p l i c a t e   k e y   v a l u e   v i o l a t e s   u n i q u e   c o n s t r a i n t   " x s s _ u s e r _ u s e r n a m e _ k e y " D E T A I L :     K e y   ( u s e r n a m e ) = ( [ r e m o v e d ] a l e r t ( 1 ) [ r e m o v e d ] )   a l r e a d y   e x i s t s . 这 个 异 常 被 拼 接 进 T h e   a b o v e   e x c e p t i o n   ( { {   f r a m e . e x c _ c a u s e   } } )   w a s   t h e   d i r e c t   c a u s e   o f   t h e   f o l l o w i n g   e x c e p t i o n ， 最 后 触 发 X S S ， 成 功 触 发 漏 洞 。 实 验 结 果 分 析 与 总 结 实 验 结 果 分 析 与 总 结 本 次 实 验 我 们 学 习 了 D j a n g o   d e b u g   p a g e   X S S 漏 洞 （ C V E - 2 0 1 7 - 1 2 7 9 4 ） 的 原 理 ， 了 解 了 他 的 漏 洞 利 用 手 法 。 戳 阅 读 原 文 ， 更 多 精 彩 等 你 哟 戳 阅 读 原 文 ， 更 多 精 彩 等 你 哟 ~
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理