搜索

[18118] 2020-08-19_实战绕过双重waf结合sqlmaptamper获取数据

文档创建者：s7ckTeam
浏览次数：68
最后更新：2025-01-18
2020-08-19_实战绕过双重waf结合sqlmaptamper获取数据 实 战 绕 过 双 重 w a f 结 合 s q l m a p   t a m p e r 获 取 数 据 n g l s t h   H A C K 之 道   2 0 2 0 - 0 8 - 1 9 前 言 前 言 某 次 渗 透 中 遇 到 的 注 入 存 在 双 层 w a f 的 情 况 , 第 一 层 是 云 w a f 第 二 层 似 乎 是 本 地 的 安 全 狗 或 者 是 代 码 层 面 的 防 护 , 后 端 数 据 库 是 m y s q l , j s p 环 境 ， 最 终 通 过 多 次 f u z z 的 方 式 成 功 找 到 突 破 口 , 并 且 利 用 s q l m a p 的 t a m p e r 脚 本 来 获 取 数 据 . 正 文 正 文 首 先 来 看 一 下 这 个 双 层 w a f 的 大 概 情 况 , 首 先 是 云 w a f ， 利 用 一 个 简 单 的   ' a n d   ' 1 ' = ' 1   触 发 w a f 渲 染 后 的 样 子 有 兄 弟 看 出 这 个 是 啥 牌 子 的 w a f 嘛   有 的 话 希 望 告 知 一 下   小 弟 没 看 出 来 因 为 后 端 是 m y s q l   所 以 直 接 用 & & 替 换 了   a n d   并 且 u r l 编 码 一 下   因 为 是 特 殊 字 符   直 接 就 过 了   我 是 没 想 到 的   0 _ 0
其 他 更 多 的 p a y l o a d 我 还 没 测 试 我 在 回 包 里 发 现 还 有 检 测 , 应 该 是 本 地 的 安 全 狗 或 者 是 代 码 层 面 的 检 测 换 一 个   o r   对 应 的   | |   试 试
偶 哟   还 不 错 哦   检 测 了 = 号   我 们 用   l i k e   来 替 换 一 下 成 功 过 去 了   我 低 头 沉 思   虽 然 过 去 了   但 是 好 像 没 有 什 么 卵 用   单 纯 o r   用   | |   替 换   = 用   l i k e   替 换   那 么 其 他 的 p a y l o a d   会 不 会 被 检 测 到 了   我 觉 得 多 半 是 会 被 检 测 到 的   我 们 来 试 一 试 因 为 这 个 返 回 是 把 错 误 打 印 出 来 的   多 半 是 支 持 报 错 注 入 的 找 个 报 错 注 入 的 p a y l o a d 试 一 试   稍 微 加 点 注 释 和 换 行
理 所 当 然 的 被 拦 截 了   这 都 拦 截 不 鸟 的 话   这 云 w a f 也 太 垃 圾 了   0 _ 0 如 果 想 要 真 正 把 这 个 注 入 利 用 起 来 , 也 就 是 最 终 想 要 获 取 到 数 据 库 数 据 , 那 么 多 半 要 找 一 个 一 劳 永 逸 ， 比 较 通 用 的 绕 过 方 法 , 类 似 于   假 定 可 以 双 写 绕 过   那 么 利 用   s q l m a p   的 t a m p e r   把 所 有 关 键 字 双 写   假 如 只 是 不 允 许 有 空 格   那 么 用 其 他 能 绕 过 检 测 的 东 西 批 量 替 换 空 格 获 取 数 据   所 以 我 想 寻 找 到 类 似 上 述 两 种 情 景 的 这 么 一 个 突 破 口 于 是 我 开 始 f u z z   还 有 一 个 比 较 好 的 地 方 是   因 为 如 果 语 法 出 错   返 回 包 会 把 具 体 位 置   语 句   给 你 爆 出 来   所 以 我 们 可 以 对 着   返 回 包 来 f u z z 首 先   如 果 语 法 有 问 题 那 么   返 回 包 会 显 示 具 体 情 况 我 特 地 构 造 了 一 个   p a y l o a d   来 f u z z f u z z   p a y l o a d   如 下
我 想 找 到 一 个 会 被 替 换 为 空 的 字 符   如 果 存 在 这 样 一 个 字 符 那 么 肯 定 可 以 绕 过 w a f   利 用 s q l m a p   获 取 数 据   如 果 存 在 这 么 一 个 字 符   返 回 结 果 里 肯 定 有 1 2 3 3 2 1   那 么 我 只 需 要 在 结 果 里 寻 找 这 个 1 2 3 3 2 1 就 好 加 载   1 6 进 制 数 据   0 0   0 1   一 直 到   1 0 0 ( 2 5 6 的 1 6 进 制 )   测 试 所 有 字 符   看 有 没 有 机 会 在 i n t r u d e r   爆 破 结 束 后 的   o p t i o n   选 项 里   可 以 设 置 要 寻 找 的 数 据   下 图 就 是 设 置 要 寻 找 的 1 2 3 3 2 1 结 果 没 有 发 现 这 样 一 个 字 符
不 慌   我 们 继 续 来 f u z z   我 们 来 用 两 次 u r l e n c o d e 试 试   看 后 端 怎 么 处 理 这 次 构 造 的 p a y l o a d 如 下   就 是 u r l e n c o d e 了 两 次   对 要 测 试 的 字 符   我 只 要 在 结 果 里 寻 找 1 2 3 3 2 1 就 好 l e t ' s   g o b i n g o   有 结 果 了   0 _ 0   运 气 不 错   第 二 次 f u z z   就 中 奖 了   奥 里 给
可 以 看 到   % 2 5 2 7 被 替 换 为 空 了 只 剩 下 1 2 3 3 2 1   因 为 p o s t 的 时 候   会 自 动 u r l d e c o d e 一 次   所 以 后 端 程 序 其 实 是 把 % 2 7 替 换 为 空 了 这 么 多 组 合 都 可 以 用 来 绕 w a f   嘿 嘿   简 单 测 试 一 下   报 错 注 入
哦 哟   舒 服 了   接 下 来 就 是 修 改 s q l m a p   t a m p e r   来 获 取 数 据 什 么 是 什 么 是 s q l m a p 的 的 t a m p e r s q l m a p 是 一 款 人 见 人 爱 的 自 动 化 S Q L 渗 透 工 具 ， 能 够 以 良 好 的 引 擎 发 现 给 定 U R L 中 的 可 注 入 处 ， 并 自 动 化 的 完 成 注 入 。 但 是 由 于 S Q L 注 入 的 影 响 过 于 广 泛 ， 致 使 现 代 程 序 的 防 护 越 来 越 严 密 。 s q l m a p / t a m p e r 是 官 方 给 出 的 一 些 绕 过 脚 本 ， 可 以 配 合 渗 透 测 试 人 员 完 成 更 高 效 更 高 质 量 的 测 试 至 于 s q l m a p 有 哪 些 t a m p e r   作 用 是 啥   可 以 参 考   h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 7 9 0 3 5 . h t m l 修 改 修 改 s q l m a p - t a m p e r - 获 取 数 据 获 取 数 据 不 得 不 感 叹 一 句   s q l m a p 真 乃 神 器   已 经 写 好 的 t a m p e r   功 能 基 本 就 满 足 大 多 数 场 景 了   在 这 里 我 的 目 标 是 在 每 一 个 字 符 前 加 上 % 2 5 2 7 在 s q l m a p 自 带 的 t a m p e r 中 已 经 有 一 个 叫   p e r c e n t a g e . p y 的 ， 这 个 的 功 能 是 在 每 个 字 符 前 加 %   我 只 需 要 改 成 加 % 2 5 2 7 就 行   非 常 简 单   我 们 先 看 一 下 这 个 t a m p e r 大 概 长 啥 样 框 起 来 的 部 分 是 关 键   s q l m a p 把 原 来 的 p a y l o a d   每 一 个 字 符 前 加 % 后 给 r e t V a l   并 且 重 新 拼 接 起 来   那 么 我 只 需 要 改 一 句 r e t V a l   + =   ' % % 2 5 2 7 % s '   %   p a y l o a d [ i ] 就 好 还 有   = 号 之 前 说 过 是 会 被 检 测 的   只 需 要   把 = 号   换 成   l i k e   在 最 后 加 上 r e t V a l   =   r e . s u b ( r " s * = s * " ,   "   L I K E   " ,   r e t V a l ) 最 终 的 t a m p e r   如 下
s q l m a p   真 乃 神 奇 也   简 直 奥 里 给 好 了   现 在 就 来 一 把 梭 s q l m a p   命 令 如 下   ； p y t h o n 2   s q l m a p . p y   - r   " d : s q l m a p . t x t "   - - d b m s = m y s q l   - - t e c h n i q u e = E   - - t a m p e r   m y p e r c e n t a g e 我 开 始 了   嘿 嘿
作 者 ： 作 者 ： n g l s t h         文 章 来 源 ： 先 知 社 区 文 章 来 源 ： 先 知 社 区 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理