Django框架核心历史SQL注入漏洞分析（上）

概述

本文详细分析Django框架历史上出现的SQL注入漏洞（CVE），涵盖漏洞原理、影响版本、利用方式及修复方案。这些漏洞主要涉及Django的ORM系统、QuerySet API和特定组件中的SQL注入问题。

CVE-2014-0474 - QuerySet.order_by() SQL注入

漏洞描述

Django 1.6.x和1.7.x版本中，QuerySet.order_by()方法存在SQL注入漏洞，攻击者可通过控制order_by()参数注入恶意SQL代码。

影响版本

• Django 1.6.x < 1.6.6
• Django 1.7.x < 1.7b4

漏洞原理

order_by()方法未对用户输入进行充分过滤，当参数包含特殊字符时，可直接拼接至SQL语句中：

# 漏洞代码示例
entries = Entry.objects.order_by(request.GET['order_by'])

攻击者可构造如下恶意输入：

?order_by=id);SELECT%20*%20FROM%20auth_user%20WHERE%20username=%27admin%27%20--

修复方案

• 升级至Django 1.6.6或1.7b4及以上版本
• 手动验证order_by()参数

CVE-2014-0472 - QuerySet.extra() SQL注入

漏洞描述

QuerySet.extra()方法中的select和where参数存在SQL注入漏洞，允许攻击者通过精心构造的参数注入SQL代码。

影响版本

• Django 1.6.x < 1.6.5
• Django 1.7.x < 1.7b3

漏洞原理

extra()方法用于添加额外的SQL片段，但未对字典类型的参数进行充分过滤：

# 漏洞代码示例
Entry.objects.extra(select={'test': request.GET['value']})

攻击者可构造如下输入：

?value=1%20FROM%20auth_user%20WHERE%20id=1

修复方案

• 升级至Django 1.6.5或1.7b3及以上版本
• 避免直接使用用户输入作为extra()参数

CVE-2015-5143 - JSONField/HStoreField SQL注入

漏洞描述

Django的contrib.postgres模块中，JSONField和HStoreField的键查找存在SQL注入漏洞。

影响版本

• Django 1.8.x < 1.8.3
• Django 1.7.x < 1.7.8

漏洞原理

当使用__语法查询JSON或HStore字段时，键名未正确转义：

# 漏洞代码示例
MyModel.objects.filter(data__contains={'key': 'value'})

攻击者可构造恶意键名注入SQL代码。

修复方案

• 升级至Django 1.8.3或1.7.8及以上版本
• 对JSON/HStore字段键名进行验证

CVE-2016-6186 - QuerySet.annotate() SQL注入

漏洞描述

QuerySet.annotate()方法存在SQL注入漏洞，攻击者可通过控制聚合函数参数注入恶意SQL。

影响版本

• Django 1.9.x < 1.9.8
• Django 1.8.x < 1.8.14

漏洞原理

当使用annotate()与extra()结合时，攻击者可控制聚合函数名：

# 漏洞代码示例
Entry.objects.annotate(
    Count(request.GET['aggregate'])
)

修复方案

• 升级至Django 1.9.8或1.8.14及以上版本
• 限制聚合函数名为已知安全值

防御措施总结

1. 输入验证：对所有用户提供的参数进行严格验证
2. 参数化查询：使用ORM提供的安全方法而非字符串拼接
3. 最小权限原则：数据库账户应仅具有必要权限
4. 错误处理：避免泄露数据库错误信息
5. 定期更新：保持Django框架为最新版本

参考链接

• Django官方安全公告
• CVE详细数据库
• Django文档：安全主题