Обход WAF

Discussion in 'Песочница' started by AlexG, 4 Oct 2015.

  1. AlexG

    AlexG Member

    Joined:
    26 Sep 2015
    Messages:
    56
    Likes Received:
    12
    Reputations:
    5
    Сайт: endividado.com.br
    Уязвимость: SQLi (с обходом WAF)
    Эксплоит:
    Code:
    http://www.endividado.com.br/faq_det.php?id=10+/*!union*/+select+1,version%28%29,current_user,4,5,6,7+--+
    Собственно вопрос - WAF блокирует запрос при появлении user(), database(). Как такое обходить? Пробовал играться с комментариями, строчные/прописные - все равно блок. Что еще можно попробовать?
     
  2. ocheretko

    ocheretko Banned

    Joined:
    15 May 2010
    Messages:
    143
    Likes Received:
    51
    Reputations:
    116
    Waf заблокировал мой ip
     
  3. AlexG

    AlexG Member

    Joined:
    26 Sep 2015
    Messages:
    56
    Likes Received:
    12
    Reputations:
    5
    Меня из под Тор'а не блочит.
    Попробовал захексить user() - 0x007500730065007200280029, выводится просто текстом - user(), видимо я какую-то фигню сделал хД
     
  4. grimnir

    grimnir Members of Antichat

    Joined:
    23 Apr 2012
    Messages:
    1,109
    Likes Received:
    828
    Reputations:
    231
    юзай --tamper в sqlmap сами файлы в папке tampers
     
    _________________________
  5. AlexG

    AlexG Member

    Joined:
    26 Sep 2015
    Messages:
    56
    Likes Received:
    12
    Reputations:
    5
    Я типа на конкурс новичков - ручками с выводом на страницу. Да и для получения навыков полезно ручками поработать. Тем более, как показала моя практика - тамперы не всегда помагают, надо писать свои - а если не понимаешь как работает WAF и не можешь обойти его руками (как например я) - то тампер не напишешь, надо восполнить пробел хД
     
  6. grimnir

    grimnir Members of Antichat

    Joined:
    23 Apr 2012
    Messages:
    1,109
    Likes Received:
    828
    Reputations:
    231
    Ну тогда можно тамперы позапускать и вот который сработает посмотреть исходник у него ,а дальше руками )
     
    _________________________
    AlexG likes this.
  7. AlexG

    AlexG Member

    Joined:
    26 Sep 2015
    Messages:
    56
    Likes Received:
    12
    Reputations:
    5
    Принято, спасибо. Но хочется "здесь и сейчас", а впн-ка пока закончилась. Может кто все таки пнет в направлении нужном.
     
  8. AlexG

    AlexG Member

    Joined:
    26 Sep 2015
    Messages:
    56
    Likes Received:
    12
    Reputations:
    5
    UPD Все, обошел. Сайт закинул в конкурс.

    Тема закрыта.