搜索

[8093] 2014-06-18_见招拆招：绕过WAF继续SQL注入常用方法

文档创建者：s7ckTeam
浏览次数：72
最后更新：2025-01-17
2014-06-18_见招拆招：绕过WAF继续SQL注入常用方法 见 招 拆 招 ： 绕 过 W A F 继 续 S Q L 注 入 常 用 方 法 m i k e y   F r e e B u f   2 0 1 4 - 0 6 - 1 8 W e b   H a c k e r 总 是 生 存 在 与 W A F 的 不 断 抗 争 之 中 的 ， 厂 商 不 断 过 滤 ， H a c k e r 不 断 绕 过 。 W A F   b y p a s s 是 一 个 永 恒 的 话 题 ， 不 少 基 友 也 总 结 了 很 多 奇 技 怪 招 。 那 今 天 我 在 这 里 做 个 小 小 的 扫 盲 吧 。 先 来 说 说 W A F   b y p a s s 是 啥 。 W A F 呢 ， 简 单 说 ， 它 是 一 个 W e b 应 用 程 序 防 火 墙 ， 其 功 能 呢 是 用 于 过 滤 某 些 恶 意 请 求 与 某 些 关 键 字 。 W A F 仅 仅 是 一 个 工 具 ， 帮 助 你 防 护 网 站 来 的 。 但 是 如 果 你 代 码 写 得 特 别 渣 渣 ， 别 说 W A F 帮 不 了 你 ， 就 连 w e f g o d 都 帮 不 了 你 … 所 以 不 能 天 真 的 以 为 用 上 W A F 你 的 网 站 就 百 毒 不 侵 了 。 开 始 正 题 — - 1 > 注 释 符 注 释 符 相 信 很 多 朋 友 都 知 道 S Q L 的 注 释 符 吧 ， 这 算 是 绕 W A F 用 的 最 广 泛 的 了 。 它 们 允 许 我 们 绕 过 很 多 W e b 应 用 程 序 防 火 墙 和 限 制 ， 我 们 可 以 注 释 掉 一 些 s q l 语 句 ， 然 后 让 其 只 执 行 攻 击 语 句 而 达 到 入 侵 目 的 。 常 用 注 释 符 ： / / ,   - -   ,   / * * / ,   # ,   - - + ,   - -   - ,   ; % 0 0 2 > 情 况 改 变 情 况 改 变 然 而 ， 以 前 审 计 的 一 些 开 源 程 序 中 ， 有 些 厂 商 的 过 滤 很 不 严 谨 ， 一 些 是 采 用 黑 名 单 方 式 过 滤 ， 但 是 有 些 只 过 滤 了 小 写 形 式 ， 然 而 在 传 参 的 时 候 并 没 有 将 接 收 参 数 转 换 为 小 写 进 行 匹 配 。 针 对 这 种 情 况 ， 我 们 很 简 单 就 能 绕 过 。 比 如 它 的 过 滤 语 句 是 ：   / u n i o n s s e l e c t / g 那 么 我 们 就 可 以 这 样 构 造 ： i d = 1 + U n I o N / * * / S e L e C T 3 > 内 联 注 释 内 联 注 释 有 些 W A F 的 过 滤 关 键 词 像 / u n i o n s s e l e c t / g ， 就 比 如 上 面 说 的 ， 很 多 时 候 我 都 是 采 用 内 联 注 释 。 更 复 杂 的 例 子 需 要 更 先 进 的 方 法 。 比 如 添 加 了 S Q L 关 键 字 ， 我 们 就 要 进 一 步 分 离 这 两 个 词 来 绕 过 这 个 过 滤 器 。 i d = 1 / * ! U n I o N * / S e L e C T 采 用 / * !   c o d e   * / 来 执 行 我 们 的 S Q L 语 句 。 内 联 注 释 可 以 用 于 整 个 S Q L 语 句 中 。 所 以 如 果 t a b l e _ n a m e 或 者 者 i n f o r m a t i o n _ s c h e m a 进 行 了 过 滤 ， 我 们 可 以 添 加 更 多 的 内 联 注 释 内 容 。 比 如 一 个 过 滤 器 过 滤 了 ： u n i o n , w h e r e ,   t a b l e _ n a m e ,   t a b l e _ s c h e m a ,   = ,   a n d   i n f o r m a t i o n _ s c h e m a 这 些 都 是 我 们 内 联 注 释 需 要 绕 过 的 目 标 。 所 以 通 常 利 用 内 联 注 释 进 行 如 下 方 式 绕 过 ： i d = 1 / * ! U n I o N * / + S e L e C T + 1 , 2 , c o n c a t ( / * ! t a b l e _ n a m e * / ) + F r O M   / * i n f o r m a t i o n _ s c h e m a * / . t a b l e s   / * ! W H E R E   * / + / * ! T a B l E _ S c H e M a * / + l i k e + d a t a b a s e ( ) - -   - 通 常 情 况 下 ， 上 面 的 代 码 可 以 绕 过 过 滤 器 ， 请 注 意 ， 我 们 用 的 是   L i k e 而 不 是   =
当 一 切 似 乎 失 败 了 之 后 ， 你 可 以 尝 试 通 过 应 用 防 火 墙 关 闭 S Q L 语 句 中 使 用 的 变 量 ： i d = 1 + U n I o N / * & a = * / S e L e C T / * & a = * / 1 , 2 , 3 , d a t a b a s e ( ) - -   - 即 使 常 见 内 联 注 释 本 身 没 有 工 作 ， 上 述 的 代 码 也 应 该 可 以 绕 过 u n i o n + s e l e c t 过 滤 器 。 4 > 缓 冲 区 溢 出 ： 缓 冲 区 溢 出 ： 意 想 不 到 的 输 入 ： 我 们 知 道 ， 很 多 的 W A F S 都 是 C 语 言 的 ， 他 们 在 装 载 一 堆 数 据 的 时 候 ， 很 容 易 就 会 溢 出 。 下 面 描 述 的 就 是 一 个 这 样 的 W A F ， 当 它 接 收 到 大 量 数 据 恶 意 的 请 求 和 响 应 时 。 i d = 1   a n d   ( s e l e c t   1 ) = ( S e l e c t   0 x A A A A A A A A A A A A A A A A A A A A A   1 0 0 0   m o r e   A ' s ) + U n I o N + S e L e C T + 1 , 2 , v e r s i o n ( ) , 4 , 5 , d a t a b a s e ( ) , u s e r ( ) , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , 3 1 , 3 2 , 3 3 , 3 4 , 3 5 , 3 6 - - + 上 面 的 b y p a s s 语 句 ， 我 在 最 近 的 一 个 网 站 绕 过 上 用 到 了 。 5 > 替 换 关 键 字 （ 替 换 关 键 字 （ p r e g _ r e p l a c e   a n d / o r 都 能 达 到 相 同 目 的 ） ： 都 能 达 到 相 同 目 的 ） ： 有 时 程 序 会 删 除 所 有 的 关 键 字 ， 例 如 ， 有 一 个 过 滤 器 ， 他 会 把 u n i o n   s e l e c t 变 成 空 白 ， 这 时 我 们 可 以 采 用 以 下 方 式 进 行 绕 过 ： i d = 1 + U N I u n i o n O N + S e L s e l e c t E C T + 1 , 2 , 3 – 不 难 明 白 吧 ？ u n i o n 和 s e l e c t 变 成 空 白 了 ， 两 边 的 又 会 重 新 组 合 成 新 的 查 询 。 U N I O N + S E L E C T + 1 , 2 , 3 - - 6 > C h a r a c t e r 编 码 ： 编 码 ： 有 些 情 况 下 ， W A F 对 应 用 程 序 中 的 输 入 进 行 解 码 ， 但 是 有 些 W A F 是 只 过 滤 解 码 一 次 的 ， 所 以 只 要 我 们 对 b y p a s s 语 句 进 行 双 重 编 码 就 能 将 其 绕 过 之 。 ( W A F 解 码 一 次 然 后 过 滤 ， 之 后 的 S Q L 语 句 就 会 被 自 动 解 码 直 接 执 行 了 ~ ) 双 重 编 码 b y p a s s 语 句 示 例 ： i d = 1 % 2 5 2 f % 2 5 2 a * / U N I O N % 2 5 2 f % 2 5 2 a   / S E L E C T % 2 5 2 f % 2 5 2 a * / 1 , 2 , p a s s w o r d % 2 5 2 f % 2 5 2 a * / F R O M % 2 5 2 f % 2 5 2 a * / U s e r s - - + 一 些 双 重 编 码 举 例 ： 单 引 号 ： ' % u 0 0 2 7 % u 0 2 b 9 % u 0 2 b c % u 0 2 c 8 % u 2 0 3 2 % u f f 0 7 % c 0 % 2 7 % c 0 % a 7
% e 0 % 8 0 % a 7 空 白 ： % u 0 0 2 0 % u f f 0 0 % c 0 % 2 0 % c 0 % a 0 % e 0 % 8 0 % a 0 左 括 号 ( : % u 0 0 2 8 % u f f 0 8 % c 0 % 2 8 % c 0 % a 8 % e 0 % 8 0 % a 8 右 括 号 ) : % u 0 0 2 9 % u f f 0 9 % c 0 % 2 9 % c 0 % a 9 % e 0 % 8 0 % a 9 7 > 综 合 ： 综 合 ： 绕 过 几 个 简 单 的 W A F 之 后 ， 后 面 的 任 务 也 越 来 越 容 易 了 ~ 下 面 说 几 种 方 法 来 绕 过 你 的 目 标 W A F 。 7 a > 拆 散 拆 散 S Q L 语 句 ： 语 句 ： 通 常 的 做 法 是 ： 需 要 把 S Q L 注 入 语 句 给 拆 散 ， 来 检 查 是 哪 个 关 键 字 被 过 滤 了 。 比 如 ， 如 果 你 输 入 的 是 u n i o n + s e l e c t 语 句 ， 给 你 报 了 一 个 4 0 3 或 内 部 服 务 器 错 误 ， 什 么 u n i o n 不 合 法 什 么 的 ， 就 知 道 过 滤 了 哪 些 了 ， 也 是 常 见 的 F u z z i n g 测 试 。 这 是 制 造 b y p a s s 语 句 的 前 提 。 7 b > 冗 长 的 报 错 ： 冗 长 的 报 错 ： 当 你 的 s q l 语 法 输 入 错 误 时 、 对 方 网 站 又 没 关 闭 错 误 回 显 的 时 候 ， 会 爆 出 一 大 堆 错 误 ， 在 p h p 中 更 会 爆 出 敏 感 的 网 站 根 目 录 地 址 。 a s p x 则 会 爆 出 整 个 语 法 错 误 详 细 信 息 。 比 如 你 输 入 的 语 法 是 ：   i d = 1 + S e l e c t + 1 , 2 , 3 - - 会 给 你 报 出 以 下 错 误 ： E r r o r   a t   l i n e   1   n e a r   "   " + 1 , 2 , 3 - - 上 面 也 说 过 了 黑 名 单 方 式 过 滤 ， 也 可 以 采 用 以 下 方 式 进 行 绕 过 ： s e l % 0 b e c t + 1 , 2 , 3 这 只 是 众 多 方 法 之 一 ， 绕 过 不 同 W A F 需 要 不 同 的 b y p a s s 思 路 。
8 > 高 级 高 级 b y p a s s 技 巧 ： 技 巧 ： 正 如 前 面 所 说 的 ， 当 你 尝 试 着 绕 过 几 个 W A F 之 后 ， 你 会 觉 得 其 实 他 并 不 难 ， 会 感 觉 到 很 有 趣 ， 很 有 挑 战 性   : b   ， 当 你 在 注 入 的 时 候 发 现 自 己 被 W A F 之 后 ， 不 要 想 要 放 弃 ， 尝 试 挑 战 一 下 ， 看 看 它 过 滤 了 什 么 ， 什 么 语 法 允 许 ， 什 么 语 法 不 允 许 。 当 然 ， 你 也 可 以 尝 试 暴 力 一 些 ， 就 把 它 当 成 i n f l a t a b l e   d o l l ，   [ ; : { } ( ) * & $ / | < > ? " ' ]   中 括 号 里 的 这 些 特 殊 字 符 不 是 留 着 摆 设 的 撒 ~ 能 报 个 错 出 来 都 是 颇 为 自 豪 的 ， 骚 年 ， 你 说 对 不 对 ？ 但 是 ， 如 果 你 试 了 N 个 语 句 ， 都 t m 被 过 滤 了 ， 整 个 人 都 快 崩 溃 了 ， 该 怎 么 办 ？ 很 简 单 ， 打 开 音 乐 播 放 器 ， 放 一 首 小 苹 果 放 松 一 下 。 然 后 把 W A F 过 滤 的 东 东 全 部 c o p y 下 来 ， 仔 细 分 析 ！ 俗 话 怎 么 说 来 着 ， 世 上 无 难 事 ， 只 怕 有 心 人 。 举 例 来 说 ， 比 如 你 分 析 到 最 后 ， 发 现 所 有 的 * 都 被 换 成 空 白 了 ， 就 意 味 着 你 不 能 使 用 内 联 注 释 了 ， u n i o n + s e l e c t 也 会 给 你 返 回 一 个 4 0 3 错 误 ， 在 这 种 情 况 下 ， 你 应 该 充 分 利 用 * 被 替 换 成 空 白 ： i d = 1 + u n i * o n + s e l * e c t + 1 , 2 , 3 - - + 这 样 的 话 ， * 被 过 滤 掉 了 ， 但 是 u n i o n + s e l e c t 被 保 留 下 来 了 。 这 是 常 见 的 W A F   b y p a s s 技 巧 ， 当 然 不 仅 仅 是 u n i o n + s e l e c t ， 其 他 的 语 法 被 过 滤 了 都 可 以 采 用 这 种 的 。 找 到 被 替 换 的 那 个 关 键 字 ， 你 就 能 找 到 绕 过 的 方 法   一 些 常 见 的 b y p a s s ： i d = 1 + ( U n I o N ) + ( S e l E C T ) + i d = 1 + ( U n I o N + S e L e C T ) + i d = 1 + ( U n I ) ( o N ) + ( S e L ) ( E c T ) i d = 1 + ' U n I ' ' O n ' + ' S e L ' ' E C T '   < - M y S Q L   o n l y i d = 1 + ' U n I ' | | ' o n ' + S e L e C T '   < - M S S Q L   o n l y 注 意 ： 在 m y s q l 4 . 0 种 ， U N I   / * * / O N + S E L / * * /   E C T 是 没 办 法 用 的 。 结 语 ： W A F 的 姿 势 取 决 于 你 思 维 的 扩 散 ， 自 我 感 觉 在 W A F   b y p a s s 的 过 程 中 能 找 到 很 多 乐 趣 ， 不 是 吗 ？ 更 多 姿 势 欢 迎 p m 我 。 推 荐 几 本 推 荐 几 本 S Q L 注 入 与 注 入 与 W e b 安 全 方 面 的 书 ： 安 全 方 面 的 书 ： 《 S Q L 注 入 攻 击 与 防 御 》 《 黑 客 攻 防 宝 典 - W e b 实 战 篇 》 《 P H P   S e c u r i t y 》   这 一 本 适 合 P H P 开 发 人 员 阅 读 《 W e b   S e c u r i t y 》 p s ： 找 不 到 的 请 p m 我 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理