​​ Про обход защиты от SQL-инъекций

Часто WAF на сайте душит все попытки провести SQL-инъекцию и не дает нормально воткнуть кавычку и вставить привычный пэйлоад, однако, нехитрыми манипуляциями все же частенько его можно обойти.

Например, добавив управляющие символы , типа %00, %0A и др. или вставив математические операции ('AND'1'=1*1 вместо 'AND'1'='1') или добавив специфичные комментарии типа /*!50000%55nIoN*/ /*!50000%53eLeCt*/ и многое другое.

Еще больше примеров, вы можете найти в этом репозитории, где приведены варианты байпасса для различных ситуаций, а также крайне рекомендую этот сайт.

#web #sqli #bypass #waf