如何使用SQLMap繞過WAF

author:bugcx or anonymous

waf（web應用防火牆）逐漸成為安全解決方案的標配之一。正因為有了它，許多公司甚至已經不在意web應用的漏洞。遺憾的是，並不是所有的waf都是不可繞過的！本文將向大家講述，如何使用注入神器sqlmap繞過wafs/idss。

我們關注的重點在於使用tamper指令碼修改請求從而逃避waf的規則檢測。許多時候，你需要聯合使用多個tamper指令碼。

所有tamper指令碼請參考：

在這裡，我們以針對mysql的space2hash.py和space2morehash.py為例。這兩個指令碼將會自動轉換所有空格為隨機注釋，而此指令碼的拓展版本（space2morehash.py）也會幫助到你來「打亂」方法函式以繞過waf的檢測。

example: * input: 1 and 9227=9227

* output: 1%23pttmjopxdwj%0aand%23cwfcvrpv%0a9227=9227

好了，接下來我們講重點了。

你可以使用命令–tamper 來呼叫指令碼，如下：

./sqlmap.py -u -v 3 –dbms 「mysql」 –technique u -p id –batch –tamper 「space2morehash.py」

由上圖我們可以看到，請求中的空格被替換為url編碼後的%23randomtext%0a

而char(), user(),concat() 這種函式被替換為function%23randomtext%0a()

還有兩個空格替換指令碼：space2mssqlblank.py and space2mysqlblank.py，如下圖

如果web應用使用asp/asp.net開發，charunicodeencode.py和percentage.py可以幫助你逃避waf的檢測。

有意思的是，asp允許在字元之間使用多個%號間隔，比如 and 1=%%%%%%%%1 是合法的！

總結：以上列舉了一部分有代表性的tamper指令碼來幫助我們繞過waf，每個指令碼都有自己的使用場景，還是需要靈活使用。

文/roberto salgado 譯/[freebuf]thanks