Bypass ngx_lua_waf SQL注入防御（多姿勢）
0x00 前言 ngx_lua_waf是一款基於ngx_lua的web應用防火牆，使用簡單，高性能、輕量級。默認防御規則在wafconf目錄中，摘錄幾條核心的SQL注入防御規則： 這邊主要分享三種另類思路，Bypass ngx_lua_waf SQL注入防御。 0x01 ...
原文：Bypass D盾_IIS防火牆SQL注入防御（多姿勢）
X 前言 D盾 IIS防火牆，目前只支持Win 服務器，前陣子看見官方博客說D盾新版將近期推出，相信功能會更強大，這邊分享一下之前的SQL注入防御的測試情況。D盾 IIS防火牆注入防御策略，如下圖，主要防御GET POST COOKIE，文件允許白名單設置。構造不同的測試環境，IIS ASP ASPX PHP MSSQL MYSQL ，看到這邊的策略，主要的測試思路： a 白名單 b 繞過uni ...
2017-09-14 10:59 1 5718 推薦指數：
相關推薦
Bypass X-WAF SQL注入防御（多姿勢）
0x00 前言 X-WAF是一款適用中、小企業的雲WAF系統，讓中、小企業也可以非常方便地擁有自己的免費雲WAF。 本文從代碼出發，一步步理解WAF的工作原理，多姿勢進行WAF Bypass。 0x01 環境搭建 官網：https://waf.xsec.io github源碼 ...
Bypass 360主機衛士SQL注入防御（多姿勢）
0x00 前言 在服務器客戶端領域，曾經出現過一款360主機衛士，目前已停止更新和維護，官網都打不開了，但服務器中依然經常可以看到它的身影。從半年前的測試虛擬機里面，翻出了360主機衛士Apache版的安裝包，就當做是一個紀念版吧。這邊主要分享一下幾種思路，Bypass 360主機衛士SQL注入 ...
druid監控配置及sql注入防火牆配置
原文及更多文章請見個人博客：http://heartlifes.com druid是阿里巴巴開發的為監控而生的數據庫連接池，可以非常直觀的看到當前應用的數據源、sql執行情況、sql防火牆、web應用、uri監控、spring接口調用監控等。 數據源配置： 開啟web監控： 在數 ...
Bypass 360主機衛士SQL注入防御（附tamper腳本）
0x01 前言 在測試過程中，經常會遇到一些主機防護軟件，對這方面做了一些嘗試，可成功bypass了GET和POST的注入防御，分享一下姿勢。 0x02 環境搭建 Windows Server 2003+phpStudy sql注入點測試代碼： sql ...
繞過阿里雲防火牆繼續掃描探測和SQL注入
的掃描探測。 在各種測試后突然發現了這個繞過阿里雲防火牆的方法，不一定每一個都成功，但是能秒殺絕大部 ...
IIS配置Windows防火牆允許外部訪問
控制面板-Windows防火牆-高級設置-入站規則 在入站規則窗口中找到“BranchCache內容檢索(HTTP-In)”選項並啟用此規則。 這時候遠程用戶通過網站地址即可訪問站點程序。 但是如果遠程用戶訪問IIS的非80端口，也會出現不能訪問的問題。 這是 ...
SQL注入bypass學習
0x00 前言 練習sql注入過程中經常會遇到一些WAF的攔截，在網上找相關文章進行學習，並通過利用安全狗來練習Mysql環境下的bypass。 0x01 一些特殊字符 1.注釋符號 /*!*/：內聯注釋，/*!12345union*/select等效union select ...