💣WAF

WAF Detection Explanation

Где я?

Это страница с дополнительным материалом, который предназначен для помощи студентам, изучающим курс SQL Injection Master.

В рамках нашего курса ряд заданий имеет фильтрацию определённых функций или символов.

Это сделано в первую очередь для того, чтобы задания лабораторной нельзя было решить простым copy-past из методички.

Кроме того, наличие фильтрации рассчитано на то, что студент будет пробовать альтернативные варианты решений из методических материалов и при необходимости их комбинировать.

Но поскольку студенты начали сомневаться в правильности своих действий, выполняя заведомо верную инъекцию и получая ошибку, я решил подготовить кратенькую станицу с информацией, как определить, что фильтруется в нашем запросе.

Определяем фильтрацию

Первым делом нам необходимо определиться с обрамлением параметров и подготовить правильную инъекцию.

Если вы считаете, что инъекция сформирована верно, но появляется непонятная ошибка в запросе, то нам стоит проверить, что вызывает ошибку. (Это может быть как ошибка синтаксиса, так и удаление некоторых элементов WAF'ом)

[GET_Request]

http://localhost/news.php?id=-1' OR TRUE -- - 

[MySQL_Error]

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '' at line 1

В символе обрамления мы уверены и инъекция сформирована правильно, но вместо получения всех результатов из БД мы видим ошибку MySQL.

Но что самое неприятное - выводимая информация в ошибке совершенно неинформативная, будем это исправлять!

----

Первым делом мы сами сломаем запрос сразу после нашей кавычки (символа обрамления), сделать это можно разными способами, но в качестве примера мы укажем число 777.

Так же я рекомендую перед символами комментария так же добавлять символы, которые сломают запрос, в случае если все наши функции или символы попадут в фильтрацию, в качестве примера мы укажем в конце число 888.

Таким образом наш запрос будет выглядеть вот так:

[GET_Request]

http://localhost/news.php?id=-1'777 OR TRUE 888 -- -

[MySQL_Error]

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '777 OR 888-- -'' at line 1

Теперь на странице ошибки MySQL мы видим чуть больше информации и можем сразу заметить, что в нашем запросе пропал TRUE, из-за чего оригинальная инъекция ломает синтаксис запроса:

[SQL_Query]

SELECT * FROM NEWS WHERE id='-1' OR-- -';
# Запрос сломался, после OR нет никакого значения.

Для исправления инъекции нам необходимо изменить запрос, чтобы в нём не присутствовало оператор TRUE.

[GET_Request]

http://localhost/news.php?id=-1' OR 1 -- -

С данным запросом никаких ошибок мы не получим, поскольку TRUE заменён на 1.

Таким нехитрым образом мы можем проверить, что фильтруется в нашем запросе. Однако я должен отметить, что этот метод работает только с самими простыми вариантами реализации WAF и только при наличии вывода ошибки MySQL, что в дикой природе встречается крайне редко.

Однако, если мы видим вывод ошибки MySQL то мы можем сразу проверять какие функции или символы фильтруются, например отправляя запрос вида:

[GET_Request]

http://localhost/news.php?id=-1'777 AND OR UNION SELECT TRUE FALSE IF SLEEP 888 -- -

И получаем вот такую ошибку вида:

[MySQL_Error]

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '777 AND TRUE FALSE IF SLEEP 888-- -'' at line 1

Мы можем сделать вывод, что функции OR, UNION и SELECT фильтруются и нам необходимо готовить инъекцию без использования данных функций.

---

Формирование таких тестовых запросов зависит только от вашей фантазии и со временем вы подготовите для себя 2-3 запроса, в котором у вас будут проверяться на фильтрацию все основные функции, используемые в инъекциях.

В завершающих уроках курса мы будем более подробно знакомится с WAF и методами их обхода.

Заключение

Всем спасибо за внимание, надеюсь этот материал помог вам структурировать полученные знания из методички!

Кстати, если кто-то хочет потренироваться на своём стенде, то я разместил архив с php страницей, в которой есть различные варианты простых WAF и экспортом тестовой БД. [Скачать]

Если кто-то не доверяет файлам из интернета, то всегда можно проверить код php файла, он предельно простой и в нём нет никаких скрытых закладок!

Всем успехов! BearSec