在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

安全
除去弱口令与暴力破解,最常见的就是SQL注入。SQL注入可以在SQLNuke——mysql 注入load_file Fuzz工具看到如何利用,而本篇文章的重点是利用MySQL隐形的类型转换绕过WAF的检测。

web应用一般采用基于表单的身份验证方式(页面雏形如下图所示),处理逻辑就是将表单中提交的用户名和密码传递到后台数据库去查询,并根据查询结果判断是否通过身份验证。对于LAMP架构的web应用而言,处理逻辑采用PHP,后台数据库采用MySQL。而在这一处理过程,由于种种处理不善,会导致不少严重的漏洞,除去弱口令与暴力破解,最常见的就是SQL注入。SQL注入可以在SQLNuke——mysql 注入load_file Fuzz工具看到如何利用,而本篇文章的重点是利用MySQL隐形的类型转换绕过WAF的检测。

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

下面使用实例来展示这一过程。

实例包括2个脚本login.html与login.php,1张存放用户名与密码的member.user表。

(1)表单login.html

  1. <html> 
  2. <body> 
  3. <form id="form1" name="form1" method="post" action="login.php"> 
  4. <label>UserName  
  5. <input name="user" type="text" id="user"/> 
  6. </label> 
  7. <br/> 
  8. <label>Password  
  9. <input name="password" type="text" id="password"/> 
  10. </label> 
  11. <br/> 
  12. <label> 
  13. <input name="login" type="submit" id="login" value="Login"/> 
  14. </label> 
  15. </body> 
  16. </html> 

(2)认证处理login.php

  1. <?php 
  2. if(isset($_POST["login"]))  
  3. {  
  4. $link = mysql_connect("localhost","root","toor") or die ("cannot connect database".mysql_error());  
  5. mysql_select_db("member") or die ("cannot select the db");  
  6. $query = "select * from user where user='".$_POST["user"]."'and password='".md5($_POST["password"])."'";  
  7. echo $query."<br/>";  
  8. $result = mysql_query($query) or die ("the query failed:".mysql_error());  
  9. echo "<br/>";  
  10. $match_count = mysql_num_rows($result);  
  11.  
  12. if($match_count){  
  13. while($row = mysql_fetch_assoc($result)){  
  14. echo "<strong>User: </strong>".$row["user"]."<br/>";  
  15. echo "<strong>Password: </strong>".$row["password"]."<br/>";  
  16. echo "<br/>";  
  17. }  
  18. }  
  19. else {  
  20.  
  21. echo "Wrong User or password <br/>";  
  22.  
  23. echo '<a href="http://10.1.36.34/login.html">Back</a><br/>';  
  24. }  
  25. mysql_free_result($result);  
  26.  
  27. mysql_close($link);  

注意红色字体部分,为用户输入的用户名和密码,没有进行任何过滤就传入到数据库中去进行查询. 该脚本将查询字符串及查询结果展示在页面中以供直观的演示SQL查询结果。 

(3)member.user

大家看一张常见的用户表user表,由两个字段构成user用户名和password字段。

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

表中包含8行数据

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

很明显这是一段有SQL注入的程序,接下来我们来看看下面这些有趣的查询结果

(1) 输入用户名a’+'b#

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

查询结果如下图所示

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

(2)输入用户名45a’+'b’#

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测 

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

产生以上结果的原因是算术操作符+的出现将字符型的user转换为了数值性的user

dani,tanjiti,dani123,0dani 对应的数值为0
123dani,123tanjiti对应的数值为123
45dani,045tanjiti对应的数值为45
'a'+'b'对应数值为0+0=0,会把类型转换后为0的用户名搜索出来
'45a'+'b'对应数值为45+0=45,会把类型转换后为45的用户名搜索出来

除了+号,其他算术操作符号也会发生类型的类型转换,例如MOD,DIV,*,/,%,-,

(3)输入用户名a’MOD’1′#

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

’a'MOD’1′对应的数值为0 MOD 1 =0,会把user对应数值为0的搜索出来

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

(4)输入用户名‘-”#

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

”-”对应的数值为0 -0 =0,会把user对应数值为0的搜索出来

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

bit操作符&,|,^,<< ,>>也有同样的效果

(5)输入用户名‘/’1′#

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

”/’1′对应的数值为0 /1 =0,会把user对应数值为0的搜索出来

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

bit操作符&,|,^,<< ,>>也有同样的效果

(6)输入用户名a’&’b'#

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

’a'&’b'对应的数值为0&0 =0,会把user对应数值为0的搜索出来

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

对应WAF防火墙而言,当输入’ or 1=’1 时,ModSecurity防火墙会报错(我没有试验过ModSecurity,博客中有介绍)

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

而上面的实例则可以绕过防火墙.

总的来说,利用MySQL隐性的类型转换来绕过WAF对SQL注入的检测是蛮有想法的。

责任编辑:蓝雨泪 来源: FreebuF
相关推荐

2013-01-11 16:23:29

2012-12-24 13:50:54

2013-06-03 10:02:53

WAF绕过

2019-02-19 08:45:41

2017-05-05 11:31:34

2018-02-10 09:44:19

2013-05-22 17:43:21

2011-09-06 16:56:43

2017-09-07 15:39:27

2009-03-27 10:53:52

注入SQLMySQL

2015-06-16 13:37:03

2010-11-26 15:38:32

MySQL注入

2020-07-31 11:02:09

网络攻击WAF黑客

2013-05-13 11:25:02

WAFWeb应用防火墙WAF绕过

2010-09-06 17:35:43

SQL函数

2023-12-01 16:21:42

2013-12-18 09:39:37

XSSWAF绕过

2010-09-08 13:10:03

2012-10-31 17:21:57

2015-05-20 13:48:26

MySQL索引
点赞
收藏

51CTO技术栈公众号