SQL Injection: WAF Bypass

# SQL-инъекция: обход самописного WAF ## Сценарий «Экран-Сити» — магазин электроники, чья форма входа уже однажды становилась находкой пентеста. Вместо исправления разработчик добавил перед запросом самописный фильтр: значения полей проверяются на вхождение «опасных слов» SQL, и при совпадении вход отвергается с характерным сообщением. Вас пригласили на повторный аудит — проверить, держит ли теперь эта защита. ## Цель 1. Убедитесь, что классическая инъекция блокируется фильтром, а сам обработчик входа по-прежнему собирает SQL-запрос интерполяцией строк. 2. Изучите логику фильтра: как именно значения сравниваются с чёрным списком — учитывается ли регистр, все ли эквивалентные конструкции SQL перечислены. 3. Найдите щель, войдите под администратором без знания пароля и купите товар «CTF Flag» — флаг появится на странице профиля. ## Теория Чёрный список — защита по симптомам: он пытается распознать атаку вместо того, чтобы устранить её причину. Способов записать одну и ту же SQL-конструкцию почти бесконечно много — другой регистр, другой вид комментария, эквивалентный оператор, — поэтому любой конечный список проигрывает. **Уязвимый паттерн:** ```python blocked = ['select', 'union', 'or', 'and', '--', '#', 'drop', 'delete', 'insert', 'update'] for word in blocked: if word in username or word in password: ``` Сравнение выполняется как поиск подстроки с учётом регистра, а ключевые слова SQL, в отличие от него, регистронезависимы: слово из списка записано в одном регистре, а сработает в любом. За фильтром стоит всё та же интерполяция значений формы в текст запроса — фильтр лишь создаёт ложное чувство защищённости. ## Точка входа атаки `POST /login` — форма входа с полями `username` и `password`. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `???`