欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

实战绕过360网站卫士WEB防护与SQL注入规则

来源:本站整理 作者:study_vul 时间:2014-05-03 TAG: 我要投稿

实战绕过360网站卫士WEB防护与SQL注入规则在测试时遇到360 waf防护的站点,进行测试发现还是可以成功,防护提高了渗透的门槛,但是却不是万能的。



请求www.cctvad.org//siteserver/platform/background_dbSqlQuery.aspx

使用抓包工具,将302 修改成200 ,并且去掉跳转代码,即可访问该页面



输入sql语句进行查询这条语句是查询管理员密码,发现360的防护设备,已经阻止了请求。

构造新的语句

发现没有拦截,将返回的数据包中302 修改成200 ,去掉跳转代码,即可显示页面:

解密可以,以后的就不说了,已经搞到shell

对于防护设备来说,如果在开启时,让渗透者获得的重要信息,本人就认为是已经被绕过了... 可能厂商并不这么认为...因为提交到360 没有获得确认,就提交乌云了,明知道会被忽略,但是还是写出来,让使用防护设备的站长明白,防护设备是有用的,可以为站长看家护院,提高渗透的门槛,但是防护设备不是万能的,还需要勤快的站长及时更新,关注自己维护的站点等等

修复方案:

添加规则




 

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载