A industry-leading free, high-performance, AI and semantic technology web application and API security protection product - uuWAF. 一款工业级免费、高性能、高扩展,支持AI和语义引擎的Web应用和API安全防护产品-南墙。Web应用防火墙、WAF、WAAP
我关闭“防持续攻击 累计攻击超过100次,则在10分钟内拦截该ip访问”这个规则后,sqlmap可以跑出注入
payload:
id=3 AND GTID_SUBSET(CONCAT(0x716b706271,(SELECT MID((IFNULL(CAST(schema_name AS NCHAR),0x20)),1,190) FROM INFORMATION_SCHEMA.SCHEMATA LIMIT 0,1),0x716b7a7871),6646)
对应上面的payload,响应包中应判断禁止存在:
Malformed GTID set specification
另外也验证建议:
将默认的SQL报错检测规则中
if waf.status == 500 then
这个判断改为
if waf.respContentLength> 2 then
我关闭“防持续攻击 累计攻击超过100次,则在10分钟内拦截该ip访问”这个规则后,sqlmap可以跑出注入 payload:
id=3 AND GTID_SUBSET(CONCAT(0x716b706271,(SELECT MID((IFNULL(CAST(schema_name AS NCHAR),0x20)),1,190) FROM INFORMATION_SCHEMA.SCHEMATA LIMIT 0,1),0x716b7a7871),6646)
对应上面的payload,响应包中应判断禁止存在:Malformed GTID set specification
另外也验证建议: 将默认的SQL报错检测规则中
if waf.status == 500 then
这个判断改为if waf.respContentLength> 2 then
当前waf版本:v4.4.1