记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

浅析WAF下的SQLi防御绕过

0x00 几个月前在一个SRC的一个夺旗赛看了一下,题目里遇到了他们用自己的云waf保护起来的靶机,不禁心里为出题人鼓掌。直接对靶机奉上绕过策略当然有点蠢萌,不过作为探索研究决定继续往下看了看,当时运气不错,一顿测试后还真的找到了一个sql injection的bypass方法过了那题,觉得这个简单的绕过策略他们应该能抓到,等补了再写博客。 结果。。。这两天聊到云waf想起这件事来。去主站看了一下,发现和上次测试区别是防御规则加上了web客户端指纹,发现恶意以后直接长时间屏蔽掉来自这个web客户端的请求。然而上次用的方法并没有被补上,本来想把payload作为绕过实例的,现在只好略过这个具体方法写思路了。正巧前段时间看到锁师兄在ali峰会上讲的waf防御的非主流技术,那记录一下测试思路和友情吹一波锁师兄。 0x
发布时间:2016-08-19 11:20 | 阅读:111066 | 评论:0 | 标签:Web安全 bypass sql injection sqli waf waf绕过 防御绕过

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云