扫码领资料

获网安教程

免费&进群

作者：csdn博主-Demo不是emo ，转载自地址https://blog.csdn.net/qq_63844103/article/details/128048358?spm 作者公众号：（幸宇安全）

sql注入不会绕过WAF？

带你由简入难实战各个WAF，今天先来看看难度高的云锁WAF，你会绕吗？看我带你将它拿下

一：环境配置

1.云锁WAF

环境配置首先就是要搭建云锁的WAF防护，这里也给大家准备好了，连接如下 

链接：https://pan.baidu.com/s/10i982aEUOt2faz78ndVriw?pwd=u6w6提取码：u6w6

2.sqli-labs的sql注入靶场环境

这个我相信屏幕前的渗透大牛们应该都有吧，这里就不多介绍了，主要是拿实战环境过不了审，所以只能用靶场，大家理解一下，思路都是一样的 

3.检测WAF是否起作用 

 这里以sqli-labs靶场的第一关做演示，如下 

传入id=1后，加单引号，正常报错，说明可能存在注入 

http://192.168.0.108/sql/less-1/?id=1'

 再加入%23，回显正常，说明为字符型注入 

再使用union select 语句，如下

http://192.168.0.108/sql/less-1/?id=1' union select %23

出云锁拦截页面，说明云锁布置成功，如下 

二：实际操作

 1. order by语句绕过

在尝试云锁对order by语句的防护绕过时，我使用了大量的fuzz，但是仍然绕不过去，所以只能寻求order by的替换方式，那就是group by语句，该语句效果等同于order by，经过测试，这个语句并没有被云锁拦截

http://192.168.0.108/sql/less-1/?id=1' group by 3%23

 2.and 连接符绕过

云锁的and绕过也比较简单，将and替换为%26%26(&&的url的编码)即可绕过检测

http://192.168.0.108/sql/less-1/?id=1' %26%26 1=1 %23

这里的&&必须换成url编码，否侧&会被识别为变量标识符 

 3.substr截取函数绕过

 截取函数也是同理，substr()函数肯定是用的最多的，对应的也是被封的最多的，这里其实只需要将substr()函数换成left()函数，能达到一样的效果

http://192.168.0.108/sql/less-1/?id=1' %26%26 left("abcd",1) = 'a' %23

 4.取字段名绕过

云锁的取字段操作，因为涉及太多的敏感词，而fuzz对于云锁基本没用，所以我们直接另辟蹊径，这里也是我想使用的一个技巧——left函数的另类使用

因为left可以使用， 所以就可以构造如下的语句

select * from users where id = 1 and left(abcd,1)='a'

效果如下

 果不其然，提示没有abcd这个字段，此时我们将abcd换成id，效果如下

可以看到不会报出不存在字段这个错误了，说明存在这个字段，也就是通过该方法可以对表中已有的字段名进行判断

所以我们可以构造一个常用字段名的字典，来进行一个爆破

至于为什么会报这个错误，具体的原理前面的文章也有介绍过，这里就不多讲了，想了解的小伙伴可以点此移步到http://t.csdn.cn/1WPXb

 5.取数据 

现在我们已经知道字段名了，接下来就是一个正常的盲注流程，通过字段名一位一位取数据，这里就不多讲了，比如下面这个就是判断username中的数据有没有第一位字符是a的，有的话就不会报错

select * from users where id = 1' %26%26 left(username,1) = 'a' %23

————————————————

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。所有渗透都需获取授权！

（hack视频资料及工具）

（部分展示）