sql注入100种姿势过waf(二)：过安全狗
仅供学习交流如果你有更好的思路可以一起分享，想一起学习的进我主页 先去安全狗网站下载最新的安全狗版本 从官网下载 windwos apache版 v4.0.2395 最新版 数据库是mysql 5.6 1.首先判断是否有注入点包括是字符型还是数字型注入 我们假设他是数字型注入 ...
原文：sql注入100种姿势过waf(一)：waf 了解
仅供学习交流如果你有更好的思路可以一起分享，想一起学习的进我主页 首先WAF Web Application Firewall ，俗称Web应用防火墙，主要的目的实际上是用来过滤不正常或者恶意请求包，以及为服务器打上临时补丁的作用。 云waf： 在配置云waf时 通常是CDN包含的waf ，DNS需要解析到CDN的ip上去，在请求uri时，数据包就会先经过云waf进行检测，如果通过再将数据包流给主 ...
2019-06-06 10:14 0 1240 推荐指数：
相关推荐
SQL注入WAF绕过姿势
（1）大小写绕过 此类绕过不经常使用，但是用的时候也不能忘了它，他原理是基于SQL语句不分大小写的，但过滤只过滤其中一种。 这里有道题 （2）替换关键字 这种情况下大小写转化无法绕过而且正则表达式会替换或删除select、union这些关键字如果只匹配一次就很容易绕过 http ...
SQL注入绕过waf的一万种姿势
绕过waf分类： 白盒绕过： 针对代码审计，有的waf采用代码的方式，编写过滤函数，如下blacklist()函数所示： 策略： （1）大小写变形，这里也许无法成功，因为函数使用了正则匹配，/or/i ;因此可以考虑重复，比如使用 ...
SQL注入9种绕过WAF方法
SQL注入">9种绕过WAF方法 0x01前言 WAF区别于常规 防火墙"> 是因为WAF能够过滤特定Web应用程序的内容，而常规防火墙则充当服务器之间的防御门。通过检查">HTTP的流量，它可以防御Web应用安全漏洞，如阻止来自"> SQL注入、 ">跨站点脚本 （XSS）、"> 文件包含 ...
SQL注入之waf绕过
题记 常见SQL注入的waf绕过方式总结，借鉴网上大佬与培训课程里面的方式。垃圾参数与注释绕过与分块传输都是我比较熟悉的。 WAF拦截原理：WAF从规则库中匹配敏感字符进行拦截。 关键词大小写绕过 有的WAF因为规则设计的问题，只匹配纯大写或纯小写的字符 ...
Bypass X-WAF SQL注入防御（多姿势）
0x00 前言 X-WAF是一款适用中、小企业的云WAF系统，让中、小企业也可以非常方便地拥有自己的免费云WAF。 本文从代码出发，一步步理解WAF的工作原理，多姿势进行WAF Bypass。 0x01 环境搭建 官网：https://waf.xsec.io github源码 ...
Bypass ngx_lua_waf SQL注入防御（多姿势）
0x00 前言 ngx_lua_waf是一款基于ngx_lua的web应用防火墙，使用简单，高性能、轻量级。默认防御规则在wafconf目录中，摘录几条核心的SQL注入防御规则： 这边主要分享三种另类思路，Bypass ngx_lua_waf SQL注入防御。 0x01 ...
深入了解SQL注入绕过waf和过滤机制
知己知彼百战不殆 --孙子兵法 [目录] 0x00 前言 0x01 WAF的常见特征 0x02 绕过WAF的方法 0x03 SQLi Filter的实现及Evasion 0x04 延伸及测试向量示例 0x05 本文小结 0x06 参考资料 0x00 前言 笔者前几天在做 ...