Snatching the h@t 2012 | Web400 – Bypass WAF

Vào level (chừng nào level đc re-up lên lại wargame.vn mình sẽ update vào đây ) thì thấy 1 table với 2 col student-point . Test vài phát thì thấy link bị SQLI trước mắt nhưng inject vào thì xuất hiện 1 thông báo “Attack Detected 8″ có kèm theo là 1 con số gì đấy …. chà có thể nó là score, nếu mình inject các kí tự trong blacklist vào thì score sẽ đc cộng vào , và nếu score > 0 thì sẽ bị deny . và kí tự nằm trong blacklist ở đây là “a-z” và một số kí tự đặc biệt.
Cách giải bài này thì cũng đơn giản thôi , chúng ta phải vượt qua WAF với 2 bước:
1. Tìm kí tự nào thay thế kí tự ” ” (space) vì nó đã bị replace , ở đây mình dùng 0×09 (tương ứng với \t [tab]).
2. Làm sao có thể giảm đc điểm score , vì trước mắt là ko cách nào inject đc các kí tự alpha mà ko bị +score.
Sau 1 hồi thì mình thấy ngoài việc inject kí tự trong blacklist vào thì bị +8 điểm , thì việc mình inject vào các kí tự số vào thì score lại giảm đi 1 …chà, khả thi đây 
Vậy ta có thể giảm được score nếu inject vào các kí tự số nhưng ko làm ảnh hưởng đến câu query mà chúng ta inject…
“union select ………. # 1111…1111.11111″
Rồi bây giờ ta build câu query thôi… chà lại gặp thêm 1 trở ngại, nếu như ta inject vào các kí tự non-space mà liên tiếp 7 kí tự liền thì sẽ bị +9999999999 <-- hết cứu vãn
Sau 1 hồi suy nghĩ thì ok , đã có cách và câu query cuối cùng là thế này
"union all select conv( mid(hex(flag) , 1,1), 16, 10)....."
FLAG: SQLINJECTION_IN_0UR_BLOOD