做个笔记吧,某SQL注入点的绕过,有阿里云waf的. 首先遇到是个搜索框的注入点: 演示下: 针对搜索框,我们的sql语句一般是怎么写的? 本地演示:select * from product where pname like '%华为%' 我们如何进行注入判断? select * from product where pname like '%华为%' and 1=1 and '%%'='%%' select * from product where pname like '%华为%' and…

朋友发了我一个站点,来看看吧,是limit注入,不太常见.搞一搞吧. POST /Member/CompanyApply/lists HTTP/1.1 Host: * Content-Length: 57 Accept: application/json, text/javascript, */*; q=0.01 Origin: * X-Requested-With: XMLHttpRequest User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64)…

背景 应用安全领域,各类攻击长久以来都危害着互联网上的应用,在web应用安全风险中,各类注入.跨站等攻击仍然占据着较前的位置.WAF(Web应用防火墙)正是为防御和阻断这类攻击而存在,也正是这些针对Web应用的安全威胁促使了WAF这个产品的不断发展和进化.同时,各种机器学习算法和模型也被不断提出和应用在WAF等安全产品中,以期望解决这些风险. 然而这些算法大多都以监督学习为主,通过标注的正负样本数据,构建针对特定攻击类型的分类模型.安全领域通常面临着「问题空间不闭合」.「正负样本空间严重不对称」…

摘要: 阿里云WAF与日志服务打通,对外开发Web访问与攻击日志.提供近实时的网站具体的日志自动采集存储.并提供基于日志服务的查询分析.报表报警.下游计算对接与投递的能力. 背景 Web攻击形势 互联网界的安全一直都不断的面临着挑战,以DDoS/Web攻击为代表的网络威胁直接对网络安全产生严重的影响. 据近年来的调查报告显示,Web攻击的方式向两极化发展,慢速攻击.混合攻击尤其是CC攻击占比不断增大,这给检测防御造成更大的难度.在整个网络攻击中, 应用层攻击也在大幅度翻倍(参考Imperva 2…

2019年4月4日,阿里云安全应急响应中心监测到Confluence 官方发布安全更新指出,Widget Connector 存在服务端模板注入漏洞,攻击者能利用此漏洞实现目录穿越遍历甚至远程命令执行.4月10日远程命令执行PoC被公开,阿里云监测到此漏洞被大规模利用,4月12日凌晨攻击流量达到第二次高峰. 4月6日出现第一次大规模攻击,全天攻击次数超过5000次,阿里云WAF默认规则均成功防御.攻击特征为任意文件读取,攻击者通过构造特定请求读取本地敏感文件信息. 直到4月7日,第一波攻击结束,…

6月11日,阿里云安全团队发现WebLogic CVE-2019-2725补丁绕过的0day漏洞,并第一时间上报Oracle官方, 6月12日获得Oracle官方确认.由于Oracle尚未发布官方补丁,漏洞细节和真实PoC也未公开,为保障客户的安全性,阿里云Web应用防火墙(WAF)紧急更新规则,已实现对该漏洞的默认防御. 一.漏洞简介 WebLogic Server是美国甲骨文(Oracle)公司开发的一款适用于云环境和传统环境的应用服务中间件,被广泛应用于保险.证券.银行等金融领域. 此次发…

了解RDS的概念 这也是第一条,也是最重要的一条,在使用某项产品和服务之前,首先要了解该产品或服务的功能与限制,就像你买一个冰箱或洗衣机,通常也只有在阅读完说明书之后才能利用起来它们的所以功能,以及使用时的注意事项,RDS for SQL Server也是如此. RDS for SQL Server与传统的自建机房提供SQL Server的主要不同就是用户所需负责数据库的模块多与少的问题,自建SQL Server与阿里云RDS for SQL Server所需负责的部分图1所示: 当然,便捷的代…

最近测试了一下阿里云RDS for SQL Server,有些设计简直就是反人类,让人不得不吐槽一番. 1:控制台创建数据库时,数据库名不能包含大小字母. 如上截图所示,数据库名称不能包含大写字母,好吧,这个限制我认了. 但是使用"高权限账号"通过SSMS客户端连接数据库,可以创建包含大写字母的数据库.这个是完全不一致的行为?  实在不明白要弄成前后矛盾!.最坑爹的是,如果你用SSMS客户端创建了一个包含大小字母的数据库TEST,如果你去控制台删除这个数据库,也会报这个提示. 出于某些…

阿里云RDS for SQL Server的账号管理有不少小Bug,而且有一个很严重的Bug:任何普通账号,都能创建数据库.注意,我这里是说任意普通账号,任意任意普通账号!任意任意普通账号!重要的事情说三遍. 例如,下面测试环境所示,RDS for SQL Server的数据库版本为SQL Server 2016 WEB,我们在控制平台的"账号管理"界面,创建一个数据库账号test2,如下所示,只授予"只读"权限. . 我们使用脚本get_login_rights_…

强强联合 阿里云 RDS for SQL Server 与 金蝶 K/3 WISE 产品实现兼容适配,原K/3 WISE用户通过简单配置就可以无缝搭配RDS SQL Server使用,不需再费时费力自建SQL Server数据库,RDS for SQL Server 为K/3 WISE的数据存储提供超捷的便利性.极其稳定的可靠性以及极高的安全性保障.据悉,此为业内首家云计算厂商的数据库服务支持 金蝶K/3 WISE. 金蝶K/3 WISE是一款面向成长型企业,适应企业在快速成长过程中业务与管理的…