搜索

[859] 2018-05-07_Bypassngx_lua_wafSQL注入防御（多姿势）

文档创建者：s7ckTeam
浏览次数：58
最后更新：2025-01-16
2018-05-07_Bypassngx_lua_wafSQL注入防御（多姿势） B y p a s s   n g x _ l u a _ w a f   S Q L 注 入 防 御 （ 多 姿 势 ） B y p a s s   2 0 1 8 - 0 5 - 0 7 以 下 文 章 来 源 于 信 安 之 路   ， 作 者 B y p a s s 0 x 0 0   前 言 前 言 n g x _ l u a _ w a f 是 一 款 基 于 n g x _ l u a 的 w e b 应 用 防 火 墙 ， 使 用 简 单 ， 高 性 能 、 轻 量 级 。 默 认 防 御 规 则 在 w a f c o n f 目 录 中 ， 摘 录 几 条 核 心 的 S Q L 注 入 防 御 规 则 ： 这 边 主 要 分 享 三 种 另 类 思 路 ， B y p a s s   n g x _ l u a _ w a f   S Q L 注 入 防 御 。 0 x 0 1   环 境 搭 建 环 境 搭 建 g i t h u b 源 码 ： h t t p s : / / g i t h u b . c o m / l o v e s h e l l / n g x _ l u a _ w a f / n g x _ l u a _ w a f 安 装 部 署 ， 设 置 反 向 代 理 访 问 构 造 的 S Q L 注 入 点 0 x 0 2   W A F 测 试 测 试 n g x _ l u a _ w a f 是 基 于 n g x _ l u a 的 ， 我 们 先 通 过 一 个 测 试 用 例 来 了 解 它 是 如 何 获 取 参 数 的 。 首 先 看 一 下 官 方   A P I   文 档 ， 获 取 一 个   u r i   有 两 个 方 法 ： n g x . r e q . g e t _ u r i _ a r g s 、 n g x . r e q . g e t _ p o s t _ a r g s ， 二 者 主 要 的 区 别 是 参 数 来 源 有 区 别 ， n g x . r e q . g e t _ u r i _ a r g s 获 取   u r i   请 求 参 数 ， n g x . r e q . g e t _ p o s t _ a r g s 获 取 来 自   p o s t   请 求 内 容 。 测 试 用 例 ： 信 安 之 路 信 安 之 路   . 分 享 技 术 ， 分 享 经 验 ， 分 享 知 识 ， 帮 助 他 人 ， 成 就 你 我 ， 信 息 安 全 的 主 场 ！ s e l e c t . + ( f r o m | l i m i t ) ( ? : ( u n i o n ( . * ? ) s e l e c t ) ) ( ? : f r o m W + i n f o r m a t i o n _ s c h e m a W )
输 出 测 试 ： 通 过 这 个 测 试 ， 我 们 可 以 发 现 ： 1 、 当 提 交 同 一 参 数 i d ， 根 据 接 收 参 数 的 顺 序 进 行 排 序 2 、 当 参 数 i d ， 进 行 大 小 写 变 换 ， 如 变 形 为 I d 、 i D 、 I D ， 则 会 被 当 做 不 同 的 参 数 ， 大 小 写 敏 感 。 我 们 知 道 ， w i n d o w 下 I I S + A S P / A S P X   大 小 写 是 不 敏 感 的 ， 提 交 参 数 为 ：   ? i d = 1 & I d = 2 & i D = 3 & I D = 4 ， 输 出 结 果 为 ： 1 ,   2 ,   3 ,   4 那 么 ， 当 n g i n x 反 向 代 理 到 I I S 服 务 器 的 时 候 ， 这 就 存 在 一 个 参 数 获 取 的 差 异 ， 结 合 H P P 进 行 利 用 ， 可 被 用 来 进 行 B y p a s s   n g x _ l u a   构 建 的 S Q L 注 入 防 御 。 绕 过 姿 势 一 ： 参 数 大 小 写 绕 过 姿 势 一 ： 参 数 大 小 写 + H P P s e r v e r   {     l i s t e n         8 0 ;     s e r v e r _ n a m e     l o c a l h o s t ;     l o c a t i o n   / t e s t   {             c o n t e n t _ b y _ l u a _ b l o c k   {                     l o c a l   a r g   =   n g x . r e q . g e t _ u r i _ a r g s ( )                     f o r   k , v   i n   p a i r s ( a r g )   d o                             n g x . s a y ( " [ G E T   ]   k e y : " ,   k ,   "   v : " ,   v )                     e n d                     n g x . r e q . r e a d _ b o d y ( )                     l o c a l   a r g   =   n g x . r e q . g e t _ p o s t _ a r g s ( )                     f o r   k , v   i n   p a i r s ( a r g )   d o                             n g x . s a y ( " [ P O S T ]   k e y : " ,   k ,   "   v : " ,   v )                     e n d             }     } } h t t p : / / 1 9 2 . 1 6 8 . 8 . 1 4 7 / t e s t / s q l . a s p x ? i d = 1   U N I O N / & I D = / S E L E C T   n u l l , n a m e , n u l l / & I d = / F R O M   m a s t e r . d b o . s y s d a t a b a s e s
绕 过 姿 势 二 ： 绕 过 姿 势 二 ： G P C 在 A S P X 中 ， 有 一 个 比 较 特 殊 的 H P P 特 性 ， 当 G E T / P O S T / C O O K I E 同 时 提 交 的 参 数 i d ， 服 务 端 接 收 参 数 i d 的 顺 序 G E T , P O S T , C O O K I E ， 中 间 通 过 逗 号 链 接 ， 于 是 就 有 了 这 个 i d e a 。 U N I O N 、 S E L E C T 、 F R O M   三 个 关 键 字 分 别 放 在 G E T / P O S T / C O O K I E 的 位 置 ， 通 过 A S P X 的 这 个 特 性 连 起 来 ， 堪 称 完 美 的 一 个 姿 势 ， 压 根 不 好 防 。 但 姿 势 利 用 太 过 于 局 限 ：   使 用 R e q u e s t . P a r a m s [ " i d " ] 来 获 取 参 数 , G P C 获 取 到 参 数 拼 接 起 来 ， 仅 仅 作 为 B y p a s s 分 享 一 种 思 路 而 已 。 绕 过 姿 势 三 ： 绕 过 姿 势 三 ： u r i 参 数 溢 出 参 数 溢 出 前 面 两 种 都 是 M S S Q L 的 B y p a s s ， 而 且 利 用 姿 势 还 有 一 定 的 极 限 ， 有 没 有 那 么 一 种 可 以 B y p a s s   M y s q l ， 又 可 以 B y p a s s M S S Q L ， 完 全 无 视 S Q L 注 入 防 御 ， 为 所 欲 为 的 姿 势 呢 ？ 这 就 是 接 下 来 的 终 极 大 招 了 。 默 认 情 况 下 ， 通 过 n g x . r e q . g e t _ u r i _ a r g s 、 n g x . r e q . g e t _ p o s t _ a r g s 获 取 u r i 参 数 ， 只 能 获 取 前 1 0 0 个 参 数 ， 当 提 交 第 1 0 1 个 参 数 时 ， u r i 参 数 溢 出 ， 无 法 正 确 获 取 第 1 0 0 以 后 的 参 数 值 ， 基 于 n g x _ l u a 开 发 的 安 全 防 护 ， 无 法 对 攻 击 者 提 交 的 第 1 0 0 个 以 后 的 参 数 进 行 有 效 安 全 检 测 ， 从 而 绕 过 安 全 防 御 。 具 体 分 析 详 见 我 写 的 另 一 篇 文 章 ： 《 打 破 基 于 O p e n R e s t y 的 W E B 安 全 防 护 （ C V E - 2 0 1 8 - 9 2 3 0 ） 》 M y s q l   B y p a s s 实 例 ：
M s s q l   B y p a s s 实 例 ： 0 x 0 3   E N D 这 三 种 姿 势 主 要 利 用 H P P ， 结 合 参 数 获 取 的 特 性 和 差 异 ， 从 而 绕 过 n g x _ l u a _ w a f 的 S Q L 注 入 防 御 。 不 同 语 言 、 中 间 件 、 数 据 库 ， 所 对 应 的 特 性 是 有 差 异 的 ， 而 这 些 差 异 在 某 些 特 定 的 场 景 下 ， 是 可 以 利 用 的 。 关 于 我 ： 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 ， 致 力 于 分 享 原 创 高 质 量 干 货 ， 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 欢 迎 前 来 探 讨 、 交 流 。 喜 欢 这 篇 文 章 的 人 也 喜 欢   ·   ·   ·   ·   ·   · ▶   【 W A F 绕 过 】 B y p a s s   D 盾 _ 防 火 墙 （ 新 版 ） S Q L 注 入 防 御 ▶   【 代 码 审 计 】 S Q L 二 次 编 码 注 入 漏 洞 实 例 （ 附 t a m p e r 脚 本 ） ▶   【 代 码 审 计 】 M I P C M S   远 程 写 入 配 置 文 件 G e t s h e l l ▶   【 代 码 审 计 】 C L T P H P _ v 5 . 5 . 3 前 台 X M L 外 部 实 体 注 入 漏 洞 B y p a s s
A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理