### Bypass ngx_lua_waf SQL注入防御方法解析
#### 0x00 前言
ngx_lua_waf是一款基于ngx_lua的Web应用防火墙，以其高性能和轻量级著称。它内置了一系列针对常见攻击手段（如SQL注入）的防御规则。然而，任何安全系统都有其边界和局限性。本文将探讨三种绕过ngx_lua_waf SQL注入防御的方法，旨在提高读者对安全防御机制的理解，并促进网络安全领域的进一步研究。
#### 0x01 环境搭建与测试准备
为了深入理解并验证绕过方法的有效性，首先需要搭建一个测试环境：
1. **下载ngx_lua_waf源码**：从GitHub上下载ngx_lua_waf项目源码。
2. **安装部署**：按照官方文档中的指引完成ngx_lua_waf的安装配置过程。
3. **设置反向代理**：配置Nginx作为反向代理，以便测试构建的SQL注入点。
#### 0x02 WAF测试原理与案例分析
##### 1. 参数获取机制
ngx_lua_waf通过`ngx.req.get_uri_args()`和`ngx.req.get_post_args()`两个函数来获取请求参数。其中：
- `ngx.req.get_uri_args()`用于获取URI请求参数；
- `ngx.req.get_post_args()`用于获取POST请求内容中的参数。
##### 2. 输出测试结果分析
通过对测试用例的观察，我们可以总结出以下特点：
- 当提交相同名称的参数时，根据接收参数的顺序进行排序。
- 参数名对大小写敏感，例如“id”、“Id”、“iD”会被视为不同的参数。
##### 3. 绕过姿势一：参数大小写+HPP
在某些环境下（如Windows下的IIS+ASP/ASPX），参数大小写是不敏感的。因此，可以通过改变参数名的大小写形式来绕过WAF的防御。例如：
```
http://192.168.8.147/test/sql.aspx?id=1 UNION/&ID=/SELECT null,name,null/&Id=/FROM master.dbo.sysdatabases
```
此方法利用了IIS处理参数时不区分大小写的特点，使得参数能够以不同的形式传递给后端，从而达到绕过的目的。
##### 4. 绕过姿势二：GPC（Global Parameter Cache）
在ASP.NET中，存在一种名为GPC的特性，即当GET、POST、COOKIE中同时存在相同名称的参数时，服务器将以GET、POST、COOKIE的顺序获取参数，并通过逗号连接它们。这一特性可以被利用来实现SQL注入攻击。例如：
- 将SQL关键词（如`UNION`、`SELECT`、`FROM`）分别放置在GET、POST、COOKIE中，使得这些关键词能够在服务器端自动连接成一个完整的SQL语句。
##### 5. 绕过姿势三：URI参数溢出
ngx_lua_waf默认只允许获取前100个参数。当提交超过100个参数时，后续参数将不会被正确解析。这一机制可以被攻击者利用，通过提交大量的无意义参数来“填满”前100个参数槽位，从而使有意义的攻击参数位于第101个之后，进而绕过WAF的检测。例如：
- 对于MySQL环境，可以通过构造大量无意义参数来使真正的攻击参数处于第101个位置之后，实现SQL注入攻击。
#### 0x03 总结
本文介绍的三种绕过ngx_lua_waf SQL注入防御的方法均基于对WAF内部工作原理的深刻理解。通过利用特定环境下的特性差异，攻击者能够找到规避现有防御策略的新途径。这些方法不仅对于攻防双方具有重要意义，同时也提醒我们在设计安全机制时需要考虑更多边缘情况和潜在漏洞。
强调一点，本文旨在提供学术和技术上的探讨，并不鼓励非法入侵行为。网络安全领域的研究与发展，应该建立在合法合规的基础上。
