thinkphp注入宝塔拦截请教

交流讨论
1

QQ截图20210602192720
QQ截图202106021927201530×760 111 KB

原PAYLOAD:

username[]=like 1)and 1 in (2) union select 1,2,'',4,5,6,7,8,9,10,11%23&username[]=0&password=&verify=yzm

尝试对一些字符URL编码无果，大佬们是怎么处理宝塔拦截

2

试试垃圾数据覆盖？只知道这样能过上传，注入不知道行不行

3

宝塔现在的防注入很恶心的，是直接select.*这种去匹配。如果会代码，我是建议看着宝塔的waf代码去fuzzing找找有没空子钻

4

2021-06-21更新：对关键字加注释即可过宝塔，后台写shell还没找到方法，配置文件写一句话一直被拦

5

加注释好像不行吧