前言:网络上SQL注入绕过WAF的帖子文章纷繁多样,良莠不齐,眉毛胡子一把抓,各种姿势让人眼花缭乱。于是,便有学生问我,SQL注入绕过WAF的最本质原理是什么…….

0X01 WAF介绍

要从本质上回答SQL注入绕过WAF的原理就首先要了解WAF。WAF(Web Application Firewal,网站应用级入侵防御系统)是对Web网站实施安全防护和负载均衡的主要工具,是大小网站标配之一,应用范围极其广泛。WAF从产品形态上来划分,可以大致分为三类:硬件WAF、软件WAF和云WAF。三种WAF的特点和具体例子如图所示:目前,几乎所有的WAF都可以基于规则来识别过滤SQL注入,这是WAF优点,也是我们能够使用多种姿势绕过WAF的前提保证,而基于规则就直接可以理解为基于正则表达式匹配。为说明这个基础判定条件,我们通过公开资料分析主流WAF的详细参数加以佐证。

硬件WAF:从下图可以看出,绿盟硬件WAF中明确指出,多种基于规则的检测基于规则防护来对抗SQL注入,表明硬件WAF采用正则表达式来过滤SQL注入。软件WAF:安全狗作为国内一款低端主流的软件WAF产品,受到众多站长的青睐,其HTTP检测规则中提出防止复杂的and or 方式注入,防止基于时间的注入判断等,这些都表明软件WAF也采用正则表达式过滤SQL注入。WAF:腾讯云Web防火墙中对于防止SQL注入的描述是基于AI+规则,说明云WAF在防护SQL注入时依然离不开基于规则的正则匹配。因此,WAF使用基于基于规则的防护手段是常态,基于规则就是基于正则匹配,理解了正则表达式有助于我们从原理本质上弄清各种绕过WAF的手段

0X02 WAF正则匹配原理

正则表达式(regular expression)是使用单个字符串来描述、匹配一系列符合某种句法规则的字符串,广泛应用于各种编程代码中。例如:匹配8位数字的QQ号码的正则表达式可以写成^d{8}$;匹配1开头11位数字的手机号码可以写成 ^1d{10}$;匹配*号是14~18位的数字可以写成^d{14,18}$。正则表达式虽然是一个非常强大的处理字符工具,但其可读性很差、晦涩难懂。完整的正则表达式由两种字符构成:特殊字符(元字符)和普通字符。这里我们用正则表达式提取URL中的各个组成部分的例子来说明其原理:对于网站管理员来说,在用上面的正则表达式获取到URL链接中的参数提后,下一步要做的是继续使用正则表达式分析参数,过滤掉恶意攻击。为此,网站管理员可以先使用这样的正则表达式:

"[\x22\x27]\s*OR|AND\s*\d+\x3d\d+"

其中,\x22 是双引号”、\x27单引号’、\x3d为=号的ASCII编码。这样是正则表达式在忽略大小写的模式下,可以过滤类似’ or 1=1或者’ and 22=22样式的SQL注入测试,这也是上面某狗SQL注入过滤规则之一的“防止简单and or方式注入”。诚然,这样一个正则表达式太过于简单,很容易被攻击者绕过,于是网络管理员使出浑身力气,构建了一个恶意SQL注入的正则表达式库,部分如下所示:


"(OR|AND)(\s+?).+?=[\x22\x27](\s+?)[\x22\x27]$"

 "(OR|AND)(\s+?).+?=(\s+?)[\x22\x27]$", "([\x22\x27])?(\s+?)--(\s+?)([\x22\x27])?"

".+?=[\x22\x27]\*[\x22\x27]\s(AND|OR)\s.+?=[\x22\x27][\x22\x27]", "\x3bDROP"

"((\x27)|(\x22))\*((\x27)|(\x22))"

"#.+?WHERE.+?SELECT", "--.+?[\x22\x27]","%27%20","\/\*|\*\/",";.+?$"

"\w*((\%27)|(\'))(\s?)((\%6F)|(\%4F))((\%72)|(\%52))"

 "\w*((\%27)|(\'))(\s?)((\%6F)|o|(\%4F))((\%72)|r|(\%52))"

 "\w*((\%6F)|(\%4F))((\%72)|(\%52))(\s?)((\%27)|(\'))",".+?(\%2A).+?$"

".+?(0x3(a|A)).+?$", ".+?information_schema.+?$"

0X03 从正则匹配角度反观WAF绕过手法

WAF主流绕过手法主要包括关键词替换绕过、编码替换绕过、注释绕过和参数污染等。下面我们对这四种主流的绕过手法,结合正则表达式进行深度分析:

方式一:关键词替换绕过

对于SQL注入中,攻击者常用的关键词有:and, or, union, where, limit, group by, select。

针对这些关键词,WAF可以轻易写出正则匹配规则,从而阻挡攻击。为此,最有效的方法就是使用等价函数替换关键词,如用“||”替换“union”,用“group by user_id having user_id = 1”替换“limit 1”等,常用的等价函数还有:

hex()、bin() ==> ascii()
sleep() ==>benchmark()
concat_ws()==>group_concat()
mid()、substr() ==> substring()
@@user ==> user()
@@datadir ==> datadir()

利用这些等价函数,可以绕过WAF正则匹配对关键词的过滤机制,从而达到攻击目的,网上很多文章大篇幅教你怎么替换关键词,其本质和出发点就在于此。一般来说,WAF都会开启大小写同时过滤机制,尝试使用大小写绕过正则的可能性较小。

方式二:编码替换绕过

目前,常用的编码有URL 编码、Unicode 编码、HTML 实体编码、双重URL编码等。上文已经有了ASCII编码,这里不再赘述。

例如,对于Unicode 编码,单引号: %u0027;空格:%u0020;左括号:%u0028;右括号:%u0029。

URL编码中,空格为%20、单引号为%27、左括号为%28、右括号为%29、*为%2a、/为%2f,%为%25,这些特殊字符的编码一样会被WAF录入正则匹配规则之中,单独使用%2a或者%27的话会触发正则的匹配机制。在探知WAF对特殊字符编码进行匹配过滤后,可以使用编码绕过的“大招”,即构建二次编码绕过WAF,具体如下所示:

攻击端

编码前:page.php?id=?id=1/**/UNION/**/SELECT

二次编码后:page.php?id=1%252f%252a*/UNION%252f%252a*/SELECT

服务器端解析过程:

第一次解码:page.php?id=1%2f%2a*/UNION%2f%2a*/SELECT

第二次解码:page.php?id=?id=1/**/UNION/**/SELECT

使用二次编码绕过正则匹配的可能性极大,优先推荐使用

方式三:注释绕过

常用的注释的符号有://, — , /**/, #, –+,– -, ;,–a,使用注释可以规避对空格的依赖或关键字识别,从而突破WAF正则匹配,特别是对于MySQL数据库,还可以使用内联注释,利用其“/*!SQL语句*/”表示注释里面的SQL语句会被执行的特性绕过正则匹配。如union select这种关键词极易被WAF正则匹配拦截,可以使用注释uni/**/on se/**/lect混淆匹配。再比如以下SQL注入语句:

id=1 union select user,password from mysql.user

可以改为:

id=1 /*!union*/ /*!select*/  user,password /*!from*/ mysql.user

甚至还可以再综合利用编码混淆进一步变形为

id=1 /*!%75nion*/ /*!%53elec%54*/  user,password /*!from*/ mysql.user

在搞清楚WAF的过滤规则之后,综合利用上述三种绕过方式,灵巧搭配,主动变形,绕过WAF将不再困难。

方式四:HTTP 参数污染绕过

HTTP 参数污染绕过的原理主要是服务器在接受到用户传递过来的参数时,WAF仅检查第一个或者前几个参数,而不是将所有的参数都送入WAF进行过滤分析。针对于此,可以在后面参数中构造SQL注入语句。如:

?id=1/**/union/*&id=*/select/*&id=*/pwd/*&id=*/from/*&id=*/users

可以利用解析容器的这一特点,综合上述三种绕过WAF正则的方法,突破WAF的SQL注入限制。

0X04 小结

SQL注入漏洞稳居OWASP Top1榜首之位,其存在范围广,危害程度大。要是用一句话总结本文,就是要如何回答文章开头那位学生的问题,现在可以这么回答:所有的SQL注入变形方式都是为了突破WAF防御,猜解出WAF防御规则就可以针对性绕过WAF,而目前WAF防御还基本依靠正则匹配。因此,SQL注入绕过正则匹配,就可以绕过WAF!

除此之外,在撰写本文的时候,还觉得:

1.目前,主流WAF基本全部依靠正则表达式过滤用户输入,由于需要在业务可用性和安全性之间寻找平衡点,正则表达式必不会穷举所有的攻击形式,只要使用正则,就有被绕过的可能。

2.目前,单一的绕过手段很难突破高级WAF,需要手注几次尝试猜解WAF正则形式,从而综合使用多种绕过手段进行精准突破。

3.网上绕过WAF的帖子教程繁多,在学习过程中,需要根据WAF防御本质,抓住要害,学习效果才能事半功倍。

本文不妥之处,还请各位大牛批评指正,也欢迎童鞋们站内信加我讨论交流,共同提高安全技能!

*本文原创作者:DD想上学了