Django debug page XSS漏洞（CVE-2017-12794）

最新推荐文章于 2024-11-02 18:06:35 发布
原创 最新推荐文章于 2024-11-02 18:06:35 发布 · 266 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍如何在vulhub环境中复现XSS漏洞。通过特定命令启动环境，并利用恶意脚本创建用户触发XSS攻击，展示弹窗效果。

复现环境：vulhub
1.开启该环境
命令：docker-compose up -d
在这里插入图片描述
2.访问网址：127.0.0.1:8000/create_user/?username=<script>alert(2)</script>
在这里插入图片描述
显示成功创建一个用户
3.再次访问该网址：127.0.0.1:8000/create_user/?username=<script>alert(2)</script>
在这里插入图片描述
弹出XSS弹窗。

XSS漏洞复现（CVE-2017-12794）
m0_56578216的博客
08-30 733
前提条件：1.
[ vulhub漏洞复现篇 ] Django debug page XSS漏洞 CVE-2017-12794
qq_51577576的博客
09-29 2149
[ vulhub漏洞复现篇 ] Django debug page XSS漏洞 CVE-2017-12794 Django是Django软件基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。Django1.10.8之前的版本和1.11.5之前的1.11.x版本中的Technical500Template存在安全漏洞，该漏洞源于程序没有正确的过滤用户提交的输入。远程攻击者可利用该漏洞在浏览器中执行任意脚本代码。
利用Vulnhub复现漏洞 - Django debug page XSS漏洞（CVE-2017-12794）分析
JiangBuLiu的博客
07-02 2160
Django debug page XSS漏洞（CVE-2017-12794）分析Vulnhub官方复现教程漏洞原理漏洞复现启动环境创建用户触发漏洞漏洞利用 Vulnhub官方复现教程 https://vulhub.org/#/environments/django/CVE-2017-12794/ 漏洞原理 在使用Postgres数据库并触发异常的时候，psycopg2会将字段名和字段值全部抛出。...
Django1.11.4 XSS漏洞复现（CVE-2017-12794）
m0_63699746的博客
07-20 604
Django是重量级选手中最有代表性的一位。首先定义了dj错误类型数组，以及获取了db的错误类型，判断出现错误类型是否在db的错误类型中，如果存在，则将dj.exc.value.__cause__=exc.value (图上没有可能是因为在1.11.5版本下)，直接将错误的值传给__cause__，而在500页面中会输出__cause__的值。docker启动vluhub中的CVE-2017-12794的漏洞环境。新版本1.11.5，修复了1.11.4中500页面中可能存在的一个XSS漏洞。
Django_debug_page_XSS漏洞 CVE-2017-12794 漏洞复现
ADummy的博客
02-22 404
Django debug page XSS漏洞(CVE-2017-12794) by ADummy 0x00利用路线 ​ Burpsuite抓包改包—>用户创建成功—>成功登录 0x01漏洞介绍 ​ Django默认配置下，如果匹配上的URL路由中最后一位是/，而用户访问的时候没加/，Django默认会跳转到带/的请求中。（由配置项中的django.middleware.common.CommonMiddleware、APPEND_SLASH来决定）。在path开头为//example.
【漏洞复现】Django_debug page_XSS漏洞(CVE-2017-12794)
过期的秋刀鱼
11-05 931
1.11.5版本，修复了500页面中存在的一个XSS漏洞。Django 1.11.5版本。再次刷新页面触发XSS。
【海外SRC赏金挖掘】Django Debug模式启动，导致未授权访问获取后台权限
ffr666的博客
11-02 1078
海外SRC赏金挖掘专栏在学习SRC，漏洞挖掘，外网打点，渗透测试，攻防打点等的过程中，我很喜欢看一些国外的漏洞报告，总能通过国外的赏金大牛，黑客分享中学习到很多东西，有的是一些新的信息收集方式，又或者是一些骚思路,骚姿势，又或者是苛刻环境的漏洞利用。于是我打算开启这个专栏，将我认为优秀的文章进行翻译，加入我的理解和笔记，方便我自己学习和各位师傅共同进步，我争取做到日更，如果各位师傅觉得有用的话，可...
0、漏洞说明.docx
04-21
12. Django debug page XSS漏洞（CVE-2017-12794）：在Django的调试页面中存在跨站脚本（XSS）漏洞，攻击者可以注入恶意脚本，影响用户浏览器安全。 13. Django任意URL跳转漏洞（CVE-2018-14574）：此漏洞可能导致...
buuctf [Django]CVE-2017-12794
qq_1873822的博客
03-31 713
漏洞描述 Django是Django软件基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。Django1.10.8之前的版本和1.11.5之前的1.11.x版本中的Technical500Template存在安全漏洞，该漏洞源于程序没有正确的过滤用户提交的输入。远程攻击者可利用该漏洞在浏览器中执行任意脚本代码。 https://blog.youkuaiyun.com/zy15667076526/article/details/111134982 漏洞影响 Djang
Django debug page XSS漏洞-测试XSS
Fisher的安全日记
10-28 423
漏洞复现： 1.创建个用户：ip:8000/create_user/?username=<script>alert(document.cookie)</script> 显示用户已创建。 2.触发漏洞，再次访问ip:8000/create_user/?username=<script>alert(7)</script> 3.触发异常：duplicate key value violates unique constraint "xss..
vulhub靶场漏洞复现——Django-XSS(CVE-2017-12794)
pigzlfa的博客
09-26 463
物理机访问8000端口，是一个404页面。刷新页面再次创建用户触发错误弹窗。
14 - vulhub - Django debug page XSS漏洞（CVE-2017-12794）
易编橙 · 终身成长社群，相遇已是上上签！
10-25 867
Django 是一个由 Python 编写的一个开放源代码的 Web 应用框架。 使用 Django，只要很少的代码，Python 的程序开发人员就可以轻松地完成一个正式网站所需要的大部分内容，并进一步开发出全功能的 Web 服务， Django 本身基于 MVC 模型，即 Model（模型）+ View（视图）+ Controller（控制器）设计模式，MVC 模式使后续对程序的修改和扩展简化，并且使程序某一部分的重复利用成为可能。
CVE-2017-12794 存储型xss漏洞
m0_63034363的博客
07-09 1139
CVE-2017-12794 存储型xss漏洞 主要是因为数据库报错将恶意代码爆出造成xss弹框
CVE-2017-12794_Django debug page XSS漏洞
mirocky的博客
12-28 822
3、向数据库中插入相同数据，Django报错，数据被打印且执行。对打印的exception进行了HTML转义。2、首次向数据库中插入数据，成功插入。1、vulhub搭建环境。
【WEB攻防】报错也能XSS?【CVE-2017-12794】Django debug page XSS 漏洞 复现+学习过程
AAAAAAAAAAAA66的博客
12-21 1893
。https://baike.so.com/doc/24210940-24838928.html 思考 现在学了也有一定时间了，大多数漏洞的成因都依赖着代码，深入的理解代码的逻辑，就越有可能挖掘出漏洞，另外，这个漏洞其实作用并没有那么大，只是一般人根本想不道报错页面可以xss而且还是像这种类似二次注入的XSS，复现的过程中，我也试着插入其他语句，发现语句太长，或者是包含英文，都会被报错过滤掉，所以实际危害没有那么大
Django debug page XSS漏洞（CVE-2017-12794）漏洞复现
huayimy的博客
05-11 656
Django debug page XSS漏洞（CVE-2017-12794）漏洞复现
django/CVE-2017-12794XSS漏洞复现
weixin_56537388的博客
08-31 1089
alert(1)
django sql漏洞CVE-2022-28347
最新发布
03-22
### 关于Django SQL注入漏洞 CVE-2022-28347 的背景 Django 是一种流行的 Python Web 开发框架，其设计目标之一是提供内置的安全机制来防止常见的安全威胁，例如跨站脚本攻击 (XSS) 和 SQL 注入。然而，在某些情况...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值