Sqlmap-tamper的介绍及总结

gclome

本文转自：Sqlmap-tamper的介绍及总结

0x01 前言
测试sql注入时，很有可能遇到各类waf，bypass后手工进行绕过会较为麻烦，我们可以自己编写一个tamper来实现自动化bypass


0x02 tamper结构




一个tamper脚本基本

由priority和dependencies、tamper组成

1.priority
其用来定义该脚本的优先级，如果使用了多个tamper，sqlmap会根据PRIORITY的参数等级来优先使用等级较高的tamper，我们可以根据实际需要来设置。

1. 参数:  LOWEST = -100
   
2.       LOWER = -50
   
3.       LOW = -10
   
4.       NORMAL = 0
   
5.       HIGH = 10
   
6.       HIGHER = 50
   
7.       HIGHEST = 100

复制代码

2.dependencies

用来声明该脚本的适用范围

这里定义了该脚本用于MYSQL。

1. DBMS参数:
   
2. ACCESS ="Microsoft Access"
   
3. DB2 = "IBM DB2"
   
4. FIREBIRD = "Firebird"
   
5. MAXDB = "SAP MaxDB"
   
6. MSSQL = "Microsoft SQL Server"
   
7. MYSQL = "MySQL"
   
8. ORACLE = "Oracle"
   
9. SQLITE = "SQLite"
   
10. SYBASE = "Sybase"
    
11. HSQLDB ="HSQLDB

复制代码

3.tamper

接受的参数payload和**kwargs，返回值为替换后的payload，kwargs 参数则与header 信息有关

如图1就是对payload中的所有字符进行base64编码

如图3则是附加HTTP头X-originating-IP
假如我们需要将select改为/*!1111111select*/则可以这样写

1. def tamper(payload, **kwargs):
   
2. payload=payload.replace('select','/*!1111111select*/')

复制代码

当然，以上只作了最基本的说明，实战中可以根据需要来自己进行编写。

0x03 sqlmap自带tamper介绍

1. apostrophemask.py                用UTF-8全角字符替换'（例如'->％EF％BC％87）
   
2. 
   
3. apostrophenullencode.py          用双unicode替换'（例如'->％00％27）
   
4. appendnullbyte.py                在payload的末尾附加NULL字节字符（％00）
   
5. base64encode.py                  对payload中的所有字符进行base64编码
   
6. between.py                       用运算符（'>'）替换'NOT BETWEEN 0 AND＃'，用运算符（'='）替换'BETWEEN＃AND＃'
   
7. bluecoat.py                      用随机空白字符替换语句后的空格字符，之后用运算符LIKE替换字符'='
   
8. chardoubleencode.py              对payload中的所有字符进行双重URL编码（例如SELECT->％2553％2545％254C％2545％2543％2554）
   
9. charencode.py                    对payload中所有字符进行URL编码（例如SELECT->％53％45％4C％45％43％54）
   
10. charunicodeencode.py             对payload中的所有字符进行unicode编码（例如SELECT->％u0053％u0045％u004C％u0045％u0043％u0054）
    
11. charunicodeescape.py             使用Unicode转义payload中的未编码字符（例如SELECT->\u0053\u0045\u004C\u0045\u0043\u0054）
    
12. commalesslimit.py                用'LIMIT N OFFSET M'替换（MySQL）实例，例如'LIMIT M，N'
    
13. commalessmid.py                  用'MID（A FROM B FOR C）'替换（MySQL）实例，例如'MID（A，B，C）'
    
14. commentbeforeparentheses.py      在括号前加（内联）注释（例如（（->/**/（）
    
15. concat2concatws.py               用'CONCAT_WS（MID（CHAR（0），0，0），A，B）'替换（MySQL）实例，例如'CONCAT（A，B）' 。
    
16. equaltolike.py                   将（'='）运算符替换为'LIKE'
    
17. escapequotes.py                  斜杠转义单引号和双引号（例如'-> \'）
    
18. great.py                         替换运算符（'>' ）和'GREATEST'对应
    
19. Halfversionedmorekeywords.py     在每个关键字前添加mysql注释
    
20. hex2char.py                      替换每个（MySQL）0x等效的CONCAT（CHAR（），...）编码字符串
    
21. htmlencode.py                    用HTML编码（使用代码点）所有非字母数字字符（例如'->'）
    
22. ifnull2casewhenisnull.py         绕过对 IFNULL 过滤,替换类似’IFNULL(A, B)’为’IF(ISNULL(A), B, A)’
    
23. ifnull2ifisnull.py               用'IF（ISNULL（A），B）替换'IFNULL（A，B）'之类的实例，A）'对应
    
24. informationschemacomment.py      在所有出现的（MySQL）“information_schema”标识符的末尾添加一个内联注释（/ ** /）
    
25. least.py                         用'LEAST'对应替换运算符（'>'）
    
26. lowercase.py                     用小写替换每个关键字字符（例如SELECT->select）
    
27. luanginx.py                      LUA-NginxWAF绕过（例如Cloudflare）
    
28. modsecurityversioned.py          包含带有（MySQL）版本注释的完整查询
    
29. modsecurityzeroversioned.py      包含带有（MySQL）零版本注释的完整查询
    
30. multiplespaces.py                在SQL关键字周围添加多个空格（''）
    
31. overlongutf8.py                  将payload中的所有（非字母数字）字符转换为超长UTF8（例如'->％C0％A7）
    
32. overlongutf8more.py              将payload中所有字符转换为超长UTF8（例如SELECT->％C1％93％C1％85％C1％8C％C1％85％C1％83％C1％94）
    
33. percent.py                       在每个字符前面添加一个百分号（'％'） （例如SELECT->％S％E％L％E％C％T）
    
34. plus2concat.py                   替换运算符（'+'）与（MsSQL）函数CONCAT（）对应
    
35. plus2fnconcat.py                 用（MsSQL）ODBC函数{fn CONCAT（）}替换为（'+'）
    
36. randomcase.py                    用随机大小写值替换每个关键字字符（例如SELECT-> SEleCt）
    
37. randomcomments.py                在SQL关键字内添加随机内联注释（例如SELECT-> S/**/E/**/LECT）
    
38. sp_password.py                   将（MsSQL）函数'sp_password'附加到payload的末尾，以便从DBMS日志中自动进行混淆
    
39. space2comment.py                 空格替换为/**_**/
    
40. space2dash.py                    空格替换为-加随机字符
    
41. space2hash.py                    空格替换为#加随机字符
    
42. space2morecomment.py             空格替换为/**_**/
    
43. space2morehash.py                空格替换为#加随机字符及换行符
    
44. space2mssqlblank.py              空格替换为其他空符号（MsSQL）
    
45. space2mssqlhash.py               空格替换为%23%0A(MsSQL)
    
46. space2mysqlblank.py              空格替换为其它空符号（Mysql）
    
47. space2mysqldash.py               替换空格字符（''）（’–‘）后跟一个破折号注释一个换行（’n’）
    
48. space2plus.py                    用加号（'+'）替换空格字符（''）
    
49. space2randomblank.py             用空格中的随机空白字符替换空格字符（''）有效的替代字符集
    
50. substring2leftright.py           用LEFT和RIGHT替换PostgreSQL SUBSTRING
    
51. symbolicologic.py                用符号（&&和||）替换AND和OR逻辑运算符
    
52. unionalltounion.py               用UNION SELECT替换UNION ALL SELECT
    
53. unmagicquotes.py                 用多字节组合％BF％27替换引号字符（'），并在末尾添加通用注释
    
54. uppercase.py-                    用大写值替换每个关键字字符（例如select -> SELECT）
    
55. varnish.py                       添加HTTP标头'X-originating-IP'以绕过Varnish防火墙
    
56. versionedkeywords.py             用注释封装每个非函数的关键字
    
57. versionedmorekeywords.py         将每个关键字包含（MySQL）版本注释
    
58. xforwardedfor.py                 添加伪造的HTTP标头'X-Forwarded-For

复制代码