mysql 注入关键字waf_见招拆招：绕过WAF继续SQL注入常用方法

这篇文章之前的名字叫做：WAF bypass for SQL injection #理论篇，我于6月17日投稿了Freebuf。链接：点击这里 现博客恢复，特发此处。

Web Hacker总是生存在与WAF的不断抗争之中的，厂商不断过滤，Hacker不断绕过。WAF bypass是一个永恒的话题，不少基友也总结了很多奇技怪招。那今天我在这里做个小小的扫盲吧。先来说说WAF bypass是啥。

WAF呢，简单说，它是一个Web应用程序防火墙，其功能呢是用于过滤某些恶意请求与某些关键字。WAF仅仅是一个工具，帮助你防护网站来的。但是如果你代码写得特别渣渣，别说WAF帮不了你，就连wefgod都帮不了你…所以不能天真的以为用上WAF你的网站就百毒不侵了。开始正题—-

1>注释符

相信很多朋友都知道SQL的注释符吧，这算是绕WAF用的最广泛的了。它们允许我们绕过很多Web应用程序防火墙和限制，我们可以注释掉一些sql语句，然后让其只执行攻击语句而达到入侵目的。

常用注释符：

//, -- , /**/, #, --+, -- -, ;%00

2>情况改变

然而，以前审计的一些开源程序中，有些厂商的过滤很不严谨，一些是采用黑名单方式过滤，但是有些只过滤了小写形式，然而在传参的时候并没有将接收参数转换为小写进行匹配。针对这种情况，我们很简单就能绕过。

比如它的过滤语句是：

/union\sselect/g

那么我们就可以这样构造：

id=1+UnIoN/**/SeLeCT

3>内联注释