[公开漏洞]实战绕过360网站卫士WEB防护与SQL注入规则

来源：WooYun　浏览：905次　时间：2014-05-02

实战绕过360网站卫士WEB防护与SQL注入规则相关厂商：奇虎360 漏洞作者：study_vul 提交时间：2014-03-18 10:35 公开时间：2014-05-02 10:36 漏洞类型：SQL注射漏洞危害等级：中自评Rank：10 漏洞状态：厂商已经确认漏洞来源：http://www.wooyun.org Tags标签：注射技巧漏洞详情披露状态：

2014-03-18：细节已通知厂商并且等待厂商处理中
2014-03-18：厂商已经确认，细节仅向厂商公开
2014-03-28：细节向核心白帽子及相关领域专家公开
2014-04-07：细节向普通白帽子公开
2014-04-17：细节向实习白帽子公开
2014-05-02：细节向公众公开

简要描述：

在测试时遇到360 web防护，发现还是可以获得一些信息，不知道算绕过不。

详细说明：

在测试时遇到360 waf防护的站点，进行测试发现还是可以成功，防护提高了渗透的门槛，但是却不是万能的。

请求www.cctvad.org//siteserver/platform/background_dbSqlQuery.aspx

使用抓包工具，将302 修改成200 ，并且去掉跳转代码，即可访问该页面

输入sql语句进行查询

这条语句是查询管理员密码，

发现360的防护设备，已经阻止了请求。

构造新的语句

发现没有拦截，将返回的数据包中302 修改成200 ，去掉跳转代码，即可显示页面:

解密可以，以后的就不说了，已经搞到shell,参考 WooYun: cctv某站点任意文件上传

漏洞证明：

证明如上

对于防护设备来说，如果在开启时，让渗透者获得的重要信息，本人就认为是已经被绕过了... 可能厂商并不这么认为...因为提交到360 没有获得确认，就提交乌云了，明知道会被忽略，但是还是写出来，让使用防护设备的站长明白，防护设备是有用的，可以为站长看家护院，提高渗透的门槛，但是防护设备不是万能的，还需要勤快的站长及时更新，关注自己维护的站点，等等省略1w字

修复方案：

添加规则

危害等级：中

漏洞Rank：10

确认时间：2014-03-18 17:57

厂商回复：

非常感谢您对360网站卫士的关注！