三篇bypass ngx lua waf sql注入防御多姿势.pdfVIP

0x00前言

ngx_lua_waf是一款基于ngx_lua的web应用，使用简单，高性能、轻量级。默认防御规则在wafconf

中，摘录几条的SQL注入防御规则：

`select.+(from|limit)(?:(union(.*?)select))(?:from\W+information_schema\W)`

这边主要三种另类思路，Bypassngx_lua_wafSQL注入防御。

0x01环境

源码：luawaf/

ngx_lua_waf安装部署，设置反向构造的SQL注入点

0x02WAF测试

ngx_lua_waf是基于ngx_lua的，我们先通过一个测试用例来了解它是如何获取参数的。

首先看一下API文档，获取一个uri有两个方法：ngx.req.get_uri_args、ngx.req.get_post_args，二者主要

的区别是参数有区别，ngx.req.get_uri_args获取uri请求参数，ngx.req.get_post_args获取来自post请求内

容。

测试用例：

`server{listen80;server_namelocalhost;

location/test{content_by_lua_block{localarg=ngx.req.get_uri_args()fork,vinpairs(arg)dongx.say([GET

]key:,k,v:,v)endngx.req.read_body()localarg=ngx.req.get_post_args()fork,vinpairs(arg)dongx.say(

[POST]key:,k,v:,v)end}}}`

输出测试：

通过这个测试，我们可以发现：

1、当提交同一参数id，根据接收参数的顺序进行排序

2、当参数id，进行大小写变换，如变形为Id、iD、ID，则会被当做不同的参数，大小写敏感。

我们知道，window下IIS+ASP/ASPX大小写是不敏感的，

提交参数为：?id=1Id=2iD=3ID=4，

输出结果为：1,2,3,4

那么，当nginx反向到IIS服务器的时候，这就存在一个参数获取的差异，结合HPP进行利用，可被用来进行

Bypassngx_lua构建的SQL注入防御。

绕过一：参数大小写+HPP

?id=1UNION/ID=/SELECTnull,name,null/Id=/FROMmaster.dbo.sysdatabases

绕过二：GPC

在ASPX中，有一个比较特殊的HPP特性，当GET/POST/同时提交的参数id，服务端接收参数id的顺序

GET,POST,，中间通过逗号，于是就有了这个idea。

UNION、SELECT、FROM三个关键字分别放在GET/POST/的位置，通过ASPX的这个特性连起来，堪称完

美的一个，压根不好防。

但利用太过于局限：使用Request.Params[id]来获取参数,GPC获取到参数拼接起来，仅仅作为Bypass

一种思路而已。

绕过三：uri参数溢出

前面两种都是M