Evadiendo Web Application Firewalls con SQLMap

Evadiendo Web Application Firewalls con SQLMap

Publicado en August 29, 2011

Los WAFs o Web Application Firewalls se han convertido en la solución de seguridad elegida de varias empresas hoy en día. Algunas empresas incluso, ignoran la verdadera vulnerabilidad y dependen únicamente del firewall para protección. Desaforturnadamente, la mayoría de los firewalls pueden ser evadidos. En este post explico como utilizar las nuevas funciones de SQLMap para evadir WAFs y IDSs.

Recientemente tuve el placer de trabajar en unos tamper scripts para SQLMap que pueden encontrar en la última versión de desarrollo que esta en el repositorio de subversion:

svn checkout https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev

El propósito de los tamper scripts es modificar la petición de tal forma que evada la detección de las reglas del WAF. En algunos casos es necesario combinar algunos scripts para poder engañar al WAF. Para una lista de los tamper scripts puedes visitar https://svn.sqlmap.org/sqlmap/trunk/sqlmap/tamper/ https://svn.sqlmap.org/sqlmap/trunk/sqlmap/tamper/

Los primeros scripts que mostraré son space2hash.py y space2morehash.py que sirven para MySQL (aún no he terminado el de MSSQL). Estos scripts convierten todos los espacios a comentarios con texto aleatorio. La versión extendida del script (space2morehash.py) agrega adicionalmente comentarios en los nombres de funciones y el paréntesis.

Para utilizar los tamper scripts tienes que usar la opción --tamper seguida por el nombre del script.

./sqlmap.py -u http://192.168.0.107/test.php?id=1 -v 3 --dbms "MySQL" --technique U -p id --batch --tamper "space2morehash.py"

Imagen 1: tamper script space2morehash.py


La imagen 1 muestra como el tamper script remplaza los espacios en la petición por %23randomText%0A, y después es cifrado con URL encoded. Las funciones CHAR(), USER(), CONCAT() cambian a FUNCTION%23randomText%0A() ya que la configuración de IGNORE_SPACE_AFFECTED_KEYWORDS lo permite. Esto es por la forma en la que MySQL realiza Function Name Parsing and Resolution y por como trata las llamadas a funciones e identificadores.

Otros dos scripts que transforman los espacios son space2mssqlblank.py y space2mysqlblank.py. MySQL permite que los caracteres 09, 0A-0D, A0 se usen como espacios, mientras que MSSQL permite un rango mucho mayor, de 01-1F.

Imagen 2: space2mssqlblank.py usando diferentes caracteres como espacios.


Ahora tenemos unos scripts que juegan con el cifrado: charencode.py y chardoubleencode.py. Son útiles para evadir filtros por palabras clave, por ejemplo, cuando se bloquea la palabra "table_name".

Imagen 3: charencode.py puede ser útil para evadir deteccion por palabras.


Si la aplicación realiza URL decode por alguna razón (algunas lo hacen), el script chardoubleencode.py puede resultar de utilidad.

Imagen 4: chardoubleencode.py se utiliza cuando la aplicación realiza URL decode


Adicionalmente, si la aplicación esta programada en ASP/ASP.NET, los scripts charunicodeencode.py y percentage.py pueden ser utilizados para esconder el verdadero payload.

Imagen 5: charunicodeencode.py ofuscando la inyección con cifrado unicode


Una característica interesante de ASP es que puede tomar como válido sentencias que tengan muchos simbolos de porcentaje entre los caracteres. Por ejemplo: AND 1=%%%%%%%%1 es completamente válido!

Imagen 6: Simbolos de porcentaje validos en ASP


Para concluir, he mostrado algunos de muchos tamper scripts de SQLMap. Recomiendo que los prueben ya que cada uno puede ser utilizado en situaciones diferentes. Estaré desarrollando algunos nuevos este mes así que estén pendientes.

Referencias:
SQLMap
SQL Injection Pocket Reference

tags:

Publicaciones pasadas


Últimas entradas en nuestro blog

Software Defined Radio

Hoy en día existe una tecnología que nos puede ayudar a hacer investigación de plataformas inalámbricas de una manera mucho más flexible y económica. Esta tecnología se llama Software Defined Radio.

Nueva publicación: Mastering the Nmap Scripting Engine
Los invitamos a conocer más sobre la última publicación de nuestro equipo "Mastering the Nmap Scripting Engine".

Puertas traseras en Zhone GPON-2520 y Alcatel-Lucent I240Q

Al examinar el binario (dropbear) de SSH (Secure Shell) en estos routers, se encontró que ambos tienen puertas traseras que permiten a usuarios con acceso al servicio de SSH acceder a estos dispositivos con máximos privilegios.

Últimas noticias

Participación de Websec en DragonJAR Security Conference 2015

Websec participará en la próxima edición de DragonJar Security Conference 2015. Aprende sobre los talleres y plática que impartiremos!

Participación de Websec en la Ekoparty Security Conference 10a Edición.
En esta décima edición del ekoparty, Websec tendrá una participación impartiendo la conferencia "Explotación práctica de señales de radio con Software Defined Radio"