突破360主机卫士SQL注入防御策略：实战演示与绕过技巧

本文档主要探讨了如何绕过360主机卫士针对SQL注入的防护措施，该软件虽然已停止更新，但在某些服务器环境中仍可见到其存在。作者分享了三种不同的方法来应对360主机卫士Apache纪念版的SQL注入防御机制。 1. **环境搭建与基本原理** - 环境设置：文档基于phpStudy本地环境，使用360主机卫士Apache纪念版进行测试。SQL注入点示例通过`$_REQUEST['id']`接收输入，然后执行查询。 2. **姿势一：利用PATH_INFO** - WAF白名单机制：360主机卫士默认有一个网站后台白名单。通过在请求URL中添加非白名单的路径，如`/test.php/admin?id=1unionselect1,2,schema_namefrominformation_schema.SCHEMATA`，即使包含SQL查询，也能避开检测，因为WAF会忽略PATH_INFO中的部分路径。 3. **姿势二：静态资源请求** - 动态检测规避：静态资源（如.js、.jpg、.png）通常会被WAF视为常规请求，从而跳过安全检查。因此，发送带有SQL注入的静态文件请求（如`/test.php/1.png?id=1unionselect1,2,schema_namefrominformation_schema.SCHEMATA`），可以绕过防护。 4. **姿势三：缓冲区溢出攻击** - 性能瓶颈：通过发送大包POST数据，当WAF处理这些测试向量时，可能会因为超出其内置缓冲区的长度而无法完成完整的检测，导致防御失效。这种策略适用于用户上传较大文件时，WAF处理能力有限的情况。 文档提供了针对360主机卫士在不同情况下的绕过策略，包括利用WAF的漏洞特性（如路径处理和资源过滤），以及利用服务器性能限制（如POST数据处理）来规避SQL注入防护。这些建议对于了解和对抗类似的网络安全防护机制具有一定的参考价值，但也提醒了开发者和安全专家在设计和维护系统时，需要关注这类潜在的绕过手段，并持续优化安全策略。