iwebsec靶场第8关深度解析：preg_match过滤缺陷与5种绕过方案实战对比

在Web安全领域，SQL注入始终是危害性最高的漏洞类型之一。iwebsec靶场作为国内知名的Web安全实战平台，其第8关聚焦于preg_match函数对select关键字的过滤机制，为我们提供了一个绝佳的研究样本。本文将深入分析该过滤机制的缺陷原理，并系统对比5种主流绕过方案的技术细节与适用场景。

1. 漏洞环境与过滤机制分析

iwebsec第8关的核心过滤代码如下：

if (preg_match('/select/', $_GET["id"])) { die("ERROR"); }

这段代码看似简单，却隐藏着几个关键的安全盲点：

1. 大小写敏感性问题：默认情况下，PHP的preg_match是大小写敏感的。当正则表达式为/select/时，仅匹配小写的"select"，而SELECT或SeLeCt等变体不会被拦截。

2. 字符串匹配局限性：该正则仅检查"select"作为子串是否存在，而不考虑其作为SQL关键字的上下文语义。这导致攻击者可以通过各种变形或分割手段绕过检测。

3. 单次匹配缺陷：preg_match默认只执行一次匹配，当遇到"select"被其他字符分割的情况时（如双写绕过），可能无法有效识别。

提示：现代WAF通常采用preg_match('/select/i', $_GET["id"])来避免大小写绕过，其中i修饰符表示不区分大小写匹配。

2. 五种绕过方案技术对比

2.1 大小写混合绕过

原理：利用数据库引擎对SQL关键字大小写不敏感的特性，构造混合大小写的查询语句。

示例Payload：

1 UNION SeLeCt 1,2,database()--+

技术细节：

• MySQL等数据库默认不区分关键字大小写
• 可配合randomcase.py等tamper脚本实现自动化变形
• 绕过效果：★★★☆☆
• 适用场景：基础的大小写敏感过滤

防御方案：

// 添加i修饰符使正则不区分大小写 if (preg_match('/select/i', $_GET["id"])) { die("ERROR"); }

2.2 双写关键字绕过

原理：当过滤采用替换而非阻断策略时（如preg_replace），通过构造selselectect这类形式，在被移除中间的"select"后，前后部分重新组合成有效关键字。

示例Payload：

1 union seselectlect 1,2,group_concat(table_name) from information_schema.tables--+

技术细节：

• 依赖过滤后的字符串拼接
• 需要精确计算被替换部分的长度和位置
• 绕过效果：★★★★☆
• 适用场景：使用preg_replace进行关键字删除的防御机制

防御方案：

// 采用阻断而非替换策略 if (preg_match('/select.*select/i', $_GET["id"])) { die("ERROR"); }

2.3 等价函数替换

原理：使用与select功能相似但字符序列不同的数据库函数或语法结构。

常见替代方案：

示例Payload：

1 AND (SELECT substring(user(),1,1))='r'--+

技术细节：

• 需要深入了解特定数据库的语法特性
• MySQL 5.7+支持TABLE语句作为SELECT的简化形式
• 绕过效果：★★☆☆☆
• 适用场景：精确关键字过滤且无法大小写绕过的环境

2.4 编码绕过技术

原理：利用URL编码、十六进制编码、注释符等混淆技术隐藏关键字。

编码类型对比表：

示例Payload：

1 UNION SELECT 1,2,group_concat(table_name) FROM information_schema.tables--+

技术细节：

• 部分WAF会自动解码检测
• 可组合使用多重编码增加混淆度
• 绕过效果：★★★★☆
• 适用场景：具备解码能力的多层过滤系统

2.5 逻辑运算符替代

原理：利用&&、||等逻辑运算符替代部分关键字，结合其他绕过技术。

示例Payload：

1 && (SeLeCt 1 FROM dual WHERE database() LIKE 'iwebsec%')

技术细节：

• MySQL中&&等价于AND，||等价于OR
• 可结合时间盲注等技术实现无显错注入
• 绕过效果：★★★☆☆
• 适用场景：过滤了关键字但未过滤运算符的环境

3. 自动化工具实战分析

sqlmap作为最流行的SQL注入测试工具，提供了多种tamper脚本应对不同过滤场景：

# 大小写随机化绕过 sqlmap -u "http://target.com/sqli/08.php?id=1" --tamper=randomcase.py # 自定义双写绕过脚本 python sqlmap.py -u "http://www.target.com:8001/sqli/09.php?id=1" \ --tamper=doublewords.py --current-db --dump

tamper脚本开发要点：

1. 继承lib.core.enums.PRIORITY定义执行优先级
2. 在tamper()函数中实现payload变形逻辑
3. 处理边界情况，避免破坏原始payload语法

4. 防御方案设计与最佳实践

基于对绕过技术的深入理解，我们提出多层次的防御策略：

1. 输入验证层：

   • 类型强制转换：$id = (int)$_GET['id'];
   • 白名单校验：只允许数字、字母等安全字符

   if (!preg_match('/^[a-zA-Z0-9]+$/', $_GET["id"])) { die("Invalid input"); }

2. 查询构造层：

   • 参数化查询（推荐方案）：

   $stmt = $pdo->prepare("SELECT * FROM user WHERE id = ? LIMIT 0,1"); $stmt->execute([$_GET['id']]);

   • 存储过程：

   CREATE PROCEDURE safe_query(IN user_id INT) BEGIN SELECT * FROM user WHERE id = user_id LIMIT 0,1; END

3. 输出处理层：

   • 错误信息脱敏
   • 敏感数据加密

4. 架构安全层：

   • 最小权限原则：数据库用户仅具备必要权限
   • WAF补充防护：ModSecurity等开源方案

5. 深入思考与扩展研究

在实际渗透测试中，绕过技术往往需要组合使用。例如，当面对以下复杂过滤时：

$id = preg_replace('/select|union|where/i', '', $_GET["id"]);

可采用多重编码+注释分割+大小写混合的复合Payload：

1 Uni%0aOn Se%0bLeCt 1,2,3 FR%0cOM information_schema.tables WH%0dERE table_schema LIKE 0x696%0a%%%0a37%0a%36%0a%35

这种payload结合了：

• URL编码分割（%0a为换行符）
• 十六进制编码（0x696...）
• 注释符混淆（%%）
• 关键字大小写变形

在防御方面，建议采用语义分析而非简单模式匹配。例如使用libinjection等库进行SQL语法树分析，或引入机器学习模型检测异常查询模式。