رفتن به مطلب
شما به عنوان یوزر میهمان وارد شده اید. جهت استفاده از تمامی امکانات لطقا وارد حساب کاربری خود شوید.

با توجه به آماده سازی و تامین زیرساخت لازم جهت تبدیل انجمن به یک منبع آموزشی در حوزه امنیت و ارزیابی امنیت، لطفا فایل های خود را در انجمن پیوست نمایید. در غیر این صورت تاپیک شما حذف خواهد شد.

 

0x3a

بررسی نوع خاص حملات Sql Injection

پست های پیشنهاد شده

به نام خدا

موضوع بحث از نام تاپیک مشخص هست اما زیاد خاص نیست اما جدیدا زیاد برخورد کردم گفتم شما هم آشنا بشید

فایل ویدیو پیوست شد

Sqli.rar


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

تصمیم بر این شد روش های مفید در زمینه WAF Bypassing در اختیار عزیزان قرار بدهیم

 

#1

در بعضی اوقات هنگام انجام حملات SQLi موقعی که می خواهید Variable ها را تست بزنید ممکن هست با کاراکتر ' ( تک کوتیشین ) با Error یا تغییر در صفحه مواجه نشوید که این جلوگیری از تغییرات توسط WAF انجام می شود. برای جلوگیری می توانید از کاراکترهای دیگر مانند :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

که می توانید تغییرات را مشاهده کنید.

 

یاعلی

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#2

در بعضی مواقع WAF هنگام اینجکت IP شما را بلاک می کند و شما را از ادامه حمله باز می دارد

راهی که در حدود 98% مواقع جواب داده ( به جز Incapsula WAF ) به شرح زیر است :

ابتدا با برنامه های مختلف یا افزونه ها IP خود را Hide کنید ( یا از فیلترشکن یا VPS استفاده کنید ) سپس در قسمت Code Comment به جای استفاده از -- از :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

استفاده کنید. این روش ها تجربی هست پس ممکن هست در مواردی هم کار نکند پس ...

یا علی

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#3

اکثر دوستانی که بر روی حملات SQL Injection سرمایه گذاری می کنند با زبان SQL آشنایی ندارند

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.
( حتی خودم ...! )

یعنی زمانی که WAF دستور Order By را فیلتر کرد ناگزیر به سراغ Target های بعدی می روند.

در بسیاری از مواقع WAF نسبت به دستورات حساسیت نشان می دهد و خاصیت Case Sensitive دیگر جواب نمی دهد در این مواقع باید از خاصیت جایگزینی دستورات استفاده کرد یعنی به جای استفاده از دستور Order By از :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

توضیحات کامل دادم مشکلی پیش نیاد


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#4

سلام دوستان در بعضی مواقع WAF به فاصله گذاری Command ها گیر می دهد ( یعنی به خود Command ها کاری ندارد ) و در نتیجه هنگامی که فاصله نباشد Command ها اجرا نخواهند شد پس می توان فاصله بین Command ها را به Hexadecimal تبدیل کرد و به صورت زیر به کار برد :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

که A0% همان Space هست که به صورت HexaDecimal هست و WAF تشخیص نخواهد داد

ایام به کام

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#5

در بعضی موارد بعد از استفاده از دستور Union Select هیچ چیزی نشان داده نمی شود :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

هیچ چیز نشان داده نمی شود

تنها راه این است به صورت تک تک یک متن ( مثلا ICG ) را به جای هر یک از اعداد بالا قرار دهید سپس Source را نگاه کرده و با Ctrl + F دنبال کلمه ICG بگردید زمانی که ICG به جای Table آسیب پذیر قرار بگیرد در Source نمایش داده می شود.

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

هر کدام که آسیب پذیر باشد متن مورد نظر در Source به نمایش در می آید.

موفق باشید

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#6

پیرامون جلسه قبل اگر Ascii Text جواب نداد می توانید از Binary استفاده کنید

به این صورت که Text مورد نظر را به Binary Code تبدیل کنید و بدین صورت استفاده کنید :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

که اگر توجه کنید می بینید همانطور که برای استفاده از Hexadecimal از 0x استفاده می کنیم در Binary Code هم از 0b استفاده می کنیم و مراحل را مانند جلسه قبل پیش می بریم

موفق باشید

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#7

معرفی Raptor WAF : این WAF در تاریخ 12 نوامبر 2015 توسط شخصی به نام Antonio Costa که از محققین و سخنرانان کنفرانس های OWASP و YSTS هست به زبان C ساخته شده است. زبان C موجب فزایندگی قدرت این WAF شده است.

این WAF در تاریخ 29 اکتبر 2016 توسط PacketStormSecurity عرضه گردید.

ویژگی های این WAF :

  • مهار کردن حملات مبتنی بر SQL ، XSS و Path Teraversals
  • Block کردن IP های دلخواه
  • پشتیبانی از IPv4 و IPv6

آموزش نصب :

توجه :

  1. نیازمند کامپایلر Gcc و فایل Make
  2. ورژن فعلی فقط بر روی سرور های لینوکس قابل اجرا می باشد
  3. در ورژن Beta امکان Report Bug نیز وجود دارد

برای نصب کدهای زیر را به ترتیب وارد کنید :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

تصویری مانند تصویر زیر نمایان خواهد شد :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

راهنما :

  1. اگر قصد بلاک کردن IP خاصی را دارید می توانید از مسیر raptor_waf-0.3\config\blacklist_ip.txt یک یا چند IP را به این فایل اضافه کنید تا Block شوند
  2. با دقت در برنامه نویسی این WAF (match_list_request.txt) متوجه خواهید شد که این WAF تمام Request هایی که مشخص کرده است را Block می کند به عنوان مثال هر صفحه ای با اسامی r57.php و c99.php ( اولین ضعف ) را بلاک می کند و Request های برنامه های Sqlmap ، Httrack و Nikto را Block کرده است ( دومین ضعف ( Request های برنامه Havij و سایر را Block نکرده است )) ولی از آن جایی که Open Source هست خودتان می توانید اضافه کنید
  3. این برنامه تقریبا 501 تست Payload های مختلف XSS و SQLi را با موفقیت رد کرده است و تمامی دستورات Union , Select , Load_File ، @@version و Eval ، Script ، Onstart ، Onerror و... را Block کرده است

دوستان عزیز امیدوارم از این تحقیق تمامی استفاده های لازم را برده باشید

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

سعی کنیم جز کوچکی از یک چیز بزرگ باشیم تا جز بزرگ از یک چیز بزرگ ( مولا علی (ع) )

خستگی تایپ را با تشکر هایتان از ما بگیرید

یا علی

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

 

raptor_waf-0.3.rar


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

#8

هنگام استفاده از دستور Union Select مشاهده می شود که هیچ چیز نمایش داده نمی شود ( مانند تاپیک 5# ) یکی از روش هایی که مورد استفاده قرار می گیرد به صورت زیر است :

به جای استفاده از :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

از :

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

استفاده باید کرد. این دو دستور تقریبا با هم تفاوتی ندارند ! اما بسیاری از WAF ها این موضوع را ندیده می گیرند.


Telegram : @WsoShell

آن که اسب داشت غبارش فرو نشست

امان از گرد سم تازه خر خریده ها

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

دوستان ممنون میشم یكی انو برام انجیكت كنه‌

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

9#

هنگام استفاده از دستور Union Select میتوان بجای استفاده از عدد از تعداد Null هم استفاده نمود.

نمونه کد:

برای مشاهده این بخش نیازمند ثبت نام و یا ورود به حساب کاربری خود میباشید.

به اشتراک گذاری این ارسال


لینک به ارسال
به اشتراک گذاری در سایت های دیگر

به گفتگو بپیوندید

هم اکنون می توانید مطلب خود را ارسال نمایید و بعداً ثبت نام کنید. اگر حساب کاربری دارید، برای ارسال با حساب کاربری خود اکنون وارد شوید .

مهمان
ارسال پاسخ به این موضوع ...

×   شما در حال چسباندن محتوایی با قالب بندی هستید.   حذف قالب بندی

  تنها استفاده از 75 اموجی مجاز می باشد.

×   لینک شما به صورت اتوماتیک جای گذاری شد.   نمایش به صورت لینک

×   محتوای قبلی شما بازگردانی شد.   پاک کردن محتوای ویرایشگر

×   شما مستقیما نمی توانید تصویر خود را قرار دهید. یا آن را اینجا بارگذاری کنید یا از یک URL قرار دهید.


تاریخچه انجمن امنیتی ایران سایبر

شرکت امنیتی ایران سایبر با بکار گیری افراد متخصص در حوزه امنیت و ارائه راه کار در زمینه امنیت شبکه و امنیت بانک های اطلاعاتی در سال ۲۰۰۹ کار خود را آغاز نمود.

این شرکت با تعریفی جدید از ارائه خدمات و مشاوره در حوزه امنیت سازمان ها و مراکز، تست نفوذ، و برنامه نویسی در تعاملی سازنده با سازمان ها، مشتری مداری را سرلوحه کار خود قرار داده و آماده همکاری با شرکت ها و ارگان های مختلف می باشد.

رعایت قوانین

شرکت و انجمن امنیتی ایران سایبر با توجه به حضور مجاز و رسمی در محافل امنیتی و شرکت های ارزیابی امنیت ملزم به رعایت قوانین بوده و کاربران انجمن نیز ملزم به رعایت قوانین جمهوری اسلامی ایران میباشد.

×
×
  • اضافه کردن...