TSRC挑战赛:WAF之SQL注入绕过挑战实录
转自腾讯
博文作者:TSRC白帽子
发布日期:2014-09-03
阅读次数:1338
博文内容:
博文作者:lol [TSRC 白帽子]
第二作者:Conqu3r、花开若相惜
来自团队:[Pax.Mac Team]
应邀参加TSRC WAF防御绕过挑战赛,由于之前曾经和Team小伙伴一起参加过安全宝WAF挑战,而且自己平时接触WAF的机会也比较多,对于WAF绕过的方法还是有一定积累的。
比赛规则就是绕过四台被tencent WAF保护的测试服务器(分别为:apache GET、apache POST、nginx GET、nginx POST)。用一种方法绕过其中一台即可,如果可以执行任意SQL语句即为通用绕过,视为高危,若有其他利用条件限制则视为中低危。
比赛之前,首先要熟悉tencent WAF的部署环境,是在网络层,还是在应用层,如果在应用层是在到达apache(或nginx)之前还是之后。不同的部署环境决定了不同的绕过方法。通过在TSRC上查看《主流WAF架构分析与探索》一文了解了tencent WAF 实现于服务器的安全模块内,这样的话,类似于十进制ip地址绕过网络层WAF防护、gzip等一系列编码绕过也就无从谈起。
首先想到通过畸形http包来绕过,尝试LOL /sql.php?id=1 and 1=1HTTP/1.1等,发现基本都被服务器过滤了,说明tencent WAF 在开发时还是吸取了不少经验的。经过不断尝试发现畸形数据包,参数污染等方法均告失败。只能把主要精力放在mysql一些语法特性上了,下面的几种思路基本都是利用了mysql 自身语法特性来实现的。
首先介绍一下Pax.Mac Team猥琐牛花开、若相惜的一种绕过思路——采用%a0绕过。id=-1 union%a0select 1,2。服务器检测了union和select之间是否含有空格,如果union select同时存在且还有空格则视为一次sql注入攻击行为。但是有许多方法可以进行绕过例如union/**/select、union%0dselect等,这里基本上都被过滤了,但是不知道是开发人员粗心还是故意放水,唯独留下了union%a0select 这个没有过滤。
除了union%a0select似乎已经没有其他可以绕过检测的了,fuzz了一遍这次应该是真的了,但是功夫不负有心人,一种神奇的方法出现了——union/*%aa*/select。咦?这个不是属于/*xxx*/应该是被防护了的怎么还可以呢?这是中文字符的特性利用,中文字符配合注释符bypass 所有规则。利用%e4等只要是中文字符开头的,就可以完成绕过检测!%a0之类的,已经补了。测试发现。union select可以共存,只要让检测不要认识是union 空格select就行。所以这里这样构造出一个特别的字符串。我们通过union+“特殊字符”+select拼出一个新字符串,让正则认为这是个类似unionxxooselect这种,而不是union select 。 这样就能bypass检测。但是,要让数据库识别这个,就要想办法干掉这个多余的字符。服务在检测的时候,并不把/**/作为攻击特征,当然,这本身也不是特征,但是如果我们利用这个符号把这个多余的字符干掉,就可以让语句正常执行了。因为,这里就是利用union/*中文字符*/select,完全bypass。当然,还要保证这种中文字符不能构造一个汉字。这种方法来自于Pax.MacTeam团队的Conqu3r。
以上两种方法均可以绕过union select,以及select from进行随心所欲的注入,后面介绍的这几种就比较鸡肋了,仅仅能绕过mysql函数限制进行loadfile,或者获取一些环境信息。
由于WAF对敏感函数进行了检测,导致我们的version(),load_file()等函数无法使用,但是由于是正则匹配,我们可以使用% 0b进行轻松绕过。例如:version()% 0b(%和0b之间的空格是编辑显示需要,实际并不存在),其他的特殊字符均被过滤了,% 0b在这里成为了漏网之鱼。
同样的绕过函数的思路,我们可以使用`version`()的方法再次避免WAF的正则匹配,由于mysql 语法特性`函数名`()等价于函数名()再一次完美bypass。绕过了函数名我们如何select呢?这里我们需要用到十六进制盲注:
id=1 and(select `load_file`(0x2f6574632f706173737764) is not null)
首先判断服务器某文件是否存在,例如这里我们用/etc/passwd文件。0x2f6574632f706173737764是/etc/passwd的十六进制格式。在判断确实存在该文件之后,我们可以通过:
id=1 and(select `load_file`(0x2f6574632f706173737764)>0x726f66)
根据页面返回修改大于号之后的十六进制值,从而获取到该文件的十六进制内容。
最后一种思路是获取服务器的配置信息,通过id=instr(@@global.version,1)来获取global变量。@@global包含很多敏感信息,过滤了ascii,substr函数,仍可用instr来盲注。
以上就是笔者对于本次tencent WAF 绕过挑战赛的一些总结和思考,不足之处还望大家积极指出,如果有其他绕过WAF的“奇技淫巧”也欢迎与我切磋交流。