modsecurity防护crs规则学习之SQL注入-ruleid=942220

防护规则学习之SQL注入

攻击类型：注入攻击
ruleid: 942220

规则配置文件

我直接从github下载了owasp-modsecurity-crs-3.3的源码。
规则配置文件位于：F:\学习资料\owasp-modsecurity-crs-3.3-dev\owasp-modsecurity-crs-3.3-dev\rules\REQUEST-942-APPLICATION-ATTACK-SQLI.conf

点击展开ruleid=942220的配置内容

SecRule REQUEST_COOKIES|!REQUEST_COOKIES:/__utm/|REQUEST_COOKIES_NAMES|ARGS_NAMES|ARGS|XML:/* "@rx ^(?i:-0000023456|4294967295|4294967296|2147483648|2147483647|0000012345|-2147483648|-2147483649|0000023456|3.0.00738585072007e-308|1e309)$" \
    "id:942220,\
    phase:2,\
    block,\
    capture,\
    t:none,t:urlDecodeUni,\
    msg:'Looking for integer overflow attacks, these are taken from skipfish, except 3.0.00738585072007e-308 is the \"magic number\" crash',\
    logdata:'Matched Data: %{TX.0} found within %{MATCHED_VAR_NAME}: %{MATCHED_VAR}',\
    tag:'application-multi',\
    tag:'language-multi',\
    tag:'platform-multi',\
    tag:'attack-sqli',\
    tag:'paranoia-level/1',\
    tag:'OWASP_CRS',\
    tag:'OWASP_CRS/WEB_ATTACK/SQL_INJECTION',\
    tag:'WASCTC/WASC-19',\
    tag:'OWASP_TOP_10/A1',\
    tag:'OWASP_AppSensor/CIE1',\
    tag:'PCI/6.5.2',\
    ver:'OWASP_CRS/3.2.0',\
    severity:'CRITICAL',\
    setvar:'tx.sql_injection_score=+%{tx.critical_anomaly_score}',\
    setvar:'tx.anomaly_score_pl1=+%{tx.critical_anomaly_score}'"

正则表达式：

1	^(?i:-0000023456\|4294967295\|4294967296\|2147483648\|2147483647\|0000012345\|-2147483648\|-2147483649\|0000023456\|3.0.00738585072007e-308\|1e309)$

msg:'Looking for integer overflow attacks, these are taken from skipfish, except 3.0.00738585072007e-308 is the \"magic number\" crash'这条规则是检测整数溢出攻击，除了3.0.00738585072007e-308是魔数崩溃之外，其他的数据来自skipfish。

拓展：什么是skipfish？
skipfish是google开源的一个web黑盒扫描器，它能够递归爬取一个网站的请求，然后对请求进行针对性的自动化安全测试，然后生成扫描报表。它的优势是“高性能”、“易用性”。覆盖的漏洞类型有77种，在高危及严重漏洞中，不能发现存储型xss、越权（敏感信息泄漏）、文件上传漏洞（getshell）、弱口令等。

实例

1	Matched Data: 2147483647 found within REQUEST_COOKIES:max-age: 2147483647

匹配的变量是请求COOKIES（REQUEST_COOKIES），匹配的数据是2147483647。

总结

第一次听说这种整数溢出攻击。
整数溢出的原理