搜索

[11447] 2017-06-11_浅谈WAF绕过技巧

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-11_浅谈WAF绕过技巧 浅 谈 W A F 绕 过 技 巧 原 创   m 0 9 0 4 6 1 0 5   F r e e B u f   2 0 1 7 - 0 6 - 1 1 * 本 文 原 创 作 者 ： m 0 9 0 4 6 1 0 5 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 w a f 分 类 分 类 掌 握 绕 过 各 类 掌 握 绕 过 各 类 W A F 可 以 说 是 渗 透 测 试 人 员 的 一 项 基 本 技 能 ， 本 文 将 可 以 说 是 渗 透 测 试 人 员 的 一 项 基 本 技 能 ， 本 文 将 W A F 分 为 云 分 为 云 W A F 、 硬 件 、 硬 件 W A F 、 软 件 、 软 件 W A F 、 代 码 级 、 代 码 级 W A F ， 分 别 从 各 自 的 特 性 来 谈 一 些 相 关 的 绕 过 技 巧 ， 更 侧 重 于 针 对 基 于 规 则 类 的 ， 分 别 从 各 自 的 特 性 来 谈 一 些 相 关 的 绕 过 技 巧 ， 更 侧 重 于 针 对 基 于 规 则 类 的 W A F 绕 过 技 巧 。 绕 过 技 巧 。 云 云 w a f E g : 加 速 乐 目 前 C D N 服 务 的 功 能 是 越 来 越 多 ， 安 全 性 也 越 加 强 悍 ， 用 户 的 每 个 请 求 都 会 被 发 送 到 指 定 的 C D N 节 点 上 ， 最 后 转 发 给 真 实 站 点 。 这 个 过 程 就 好 像 加 了 一 道 关 卡 ， 这 个 关 卡 提 供 了 缓 存 、 加 速 、 防 御 的 特 点 。 绕 过 关 键 ： 查 询 真 实 绕 过 关 键 ： 查 询 真 实 I P ， 若 是 直 接 访 问 服 务 器 的 ， 若 是 直 接 访 问 服 务 器 的 I P 就 不 经 过 就 不 经 过 C D N 了 。 了 。 以 下 四 点 有 助 于 绕 过 ： 1 . 查 询 历 史 D N S （ 在 2 0 1 6 年 加 入 到 了 c n d 节 点 里 面 ， 可 以 通 过 查 询 2 0 1 6 年 之 前 的 d n s 记 录 ） 2 . 查 看 子 域 名 解 析 地 址 是 否 和 主 域 名 的 I P 地 址 相 近 。 （ 有 些 网 站 只 会 讲 主 站 加 入 到 C D N 节 点 里 面 ， 这 时 可 以 查 看 其 二 级 、 三 级 域 名 的 I P 地 址 信 息 ， 进 而 猜 到 主 站 的 I P 地 址 ） 3 . C D N 节 点 分 发 缺 陷 ， 通 过 国 外 I P 访 问 网 站 可 能 会 出 现 真 实 I P ， 因 为 有 的 C D N 服 务 商 可 能 只 做 了 国 内 节 点 ， 没 做 国 外 的 ， 这 样 访 问 请 求 是 直 接 被 转 发 到 真 实 服 务 器 地 址 上 。 4 . 让 服 务 器 主 动 连 接 你 。 比 如 r s s 订 阅 服 务 或 则 是 向 邮 箱 服 务 器 发 送 个 错 误 的 邮 件 比 如 地 址 不 存 在   通 过 抓 包 观 察 返 回 的 头 来 , 查 找 I P 地 址 信 息 。 硬 件 硬 件 w a f E g : 绿 盟 W A F 软 件 软 件 w a f   E g : 安 全 狗 基 于 规 则 的 基 于 规 则 的 W A F 工 作 原 理 ： 工 作 原 理 ： 数 据 获 取 数 据 获 取 ( 注 意 注 意   g e t   p o s t 等 方 法 以 及 等 方 法 以 及   p o s t 体 方 式 体 方 式 ) — — — 数 据 清 洗 数 据 清 洗 ( 去 除 多 余 数 据 比 如 编 码 去 除 多 余 数 据 比 如 编 码 , m s s q l 支 持 支 持 u n i c o d e 编 码 编 码 ) — — — 规 则 匹 规 则 匹 配 配 — — — 二 次 校 验 二 次 校 验 一 一 . 绕 注 入 绕 注 入 1 . 关 键 字 替 换 关 键 字 替 换 原 理 ： 部 分 W A F 是 通 过 黑 名 单 来 起 到 拦 截 的 作 用 ， 这 种 情 况 可 以 用 关 键 字 替 换 来 实 现 绕 过 。 比 如 在 m y s q l 中 ， w a f 将 s l e e p ( ) 函 数 列 入 了 黑 名 单 ， 可 以 通 过 具 备 相 同 功 能 的 b e n c h m a r k ( ) 函 数 来 实 现 绕 过 。 以 下 是 部 分 相 同 功 能 的 替 代 函 数 ：
<   >   等 价 于   B E T W E E N =   等 价 于   l i k e H e x ( )   b i n ( )   等 价 于 a s c i i ( ) S l e e p ( )   等 价 于   b e n c h m a r k ( ) M i d ( ) s u b s t r i n g ( )   等 价 于   s u b s t r ( ） @ @ u s e r   等 价 于   U s e r ( ) @ @ V e r s i o n   等 价 于   v e r s i o n ( ) ( m y s q l 支 持 & &     | |   , o r a c l e 不 支 持   & &   | | ） 2 . 特 殊 符 号 特 殊 符 号 原 理 ： 结 合 不 同 数 据 库 的 特 性 来 实 现 绕 过 。 ( 最 好 是 可 以 找 到 w a f 开 发 者 都 不 了 解 的 某 些 特 性 ) , 以 下 是 两 个 广 为 流 传 的 小 特 性 ： 比 如   “ + ”   s e l e c t + p a s s w o r d + f r o m + m y s q l . u s e r   相 当 于 是 一 个 空 格 的 作 用 “ ` ” 放 在 m y s q l 的 末 尾 会 起 到 注 释 符 的 作 用 3 . 编 码 编 码 可 以 结 合 各 种 编 码 方 式 来 绕 过 , 比 如 u r l 编 码 ， u r l 双 重 编 码 , 十 六 进 制 编 码 ， u n i c o d e 编 码 ， 数 据 库 编 码 等 。 举 个 栗 子 ： m y s q l 默 认 的 字 符 集 是 l a t i n , 因 此 在 p h p 代 码 里 面 设 置 的 字 符 集 为   u t f - 8 , 这 只 是 客 户 端 的 字 符 集 ， 因 此 存 在 字 符 集 装 换 的 问 题 u t f - 8 — > l a t i n , 若 传 进 来 的 字 符 集 不 是 完 整 的 字 符 ， 则 会 导 致 不 完 整 的 字 符 自 动 会 忽 略 的 问 题 ， 比 如 u s e r n a m e = a d m i n % c 2   ,       由 于 % c 2 不 是 一 个 完 整 的 u t f - 8 字 符     因 此 传 到 M y s q l     里 面     自 动 忽 略 了 ， 导 致 查 出 的 是 a d m i n 用 户 的 数 据 ， 可 以 利 用 这 个 特 性 绕 过 。 4 . 注 释 符 注 释 符 / * x x x * / 是 注 释 ， 也 可 以 充 当 空 白 符 。 因 为   / * * / 可 使 得 M y S Q L 对 s q l 语 句 ( u n i o n / * * / s e l e c t ) 词 法 解 析 成 功 。 事 实 上 许 多 W A F 都 考 虑 到 / * * / 可 以 作 为 空 白 分 ， 但 是 w a f 检 测   “ / * . * * / ” 很 消 耗 性 能 ， 工 程 师 会 折 中 ， 可 能 在 检 测 中 间 引 入 一 些 特 殊 字 符 ， 例 如 ： / * w + * / 。 或 者 ， W A F 可 能 只 中 间 检 查 n 个 字 符 “ / * . { , n } * / ” 。 根 据 以 上 想 法 ， 可 以 逐 步 测 试 绕 过 方 法 ： 先 测 试 最 基 本 的 ： u n i o n / * * / s e l e c t 再 测 试 中 间 引 入 特 殊 字 ： u n i o n / * a a a a % 0 1 b b s * / s e l e c t 最 后 测 试 注 释 长 度 ： u n i o n / * a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a * / s e l e c t 5 . 空 白 符 绕 过 空 白 符 绕 过   基 于 正 则 表 达 式 的 W A F ，   S Q L 注 入 规 则 使 用 正 则 表 达 式 的 “ s ” 匹 配 空 格 ， 例 如 ” s e l e c t s + u n i o n ” 。 利 用 空 白 符 进 行 绕 过 ， 测 试 W A F 时 尽 可 能 减 少 其 他 原 因 的 影 响 ， 例 如 ” u n i o n   s e l e c t ” 被 拦 截 ， 只 需 把 中 间 空 白 符 替 换 为 ” % 2 5 0 C ” , “ % 2 5 A 0 ” 进 行 绕 过 测 试 。 u n i o n % 2 5 0 C s e l e c t u n i o n % 2 5 A 0 s e l e c t 函 数 分 隔 符 对 基 于 正 则 表 达 式 的 W A F ， 我 们 猜 测 安 全 工 程 师 写 W A F 规 则 时 ， 可 能 不 知 道 函 数 名 与 左 括 号 之 间 可 以 存 在 特 殊 字 符 ， 或 者 遗 漏 可 以 存 在 特 殊 字 符 。 例 如 匹 配 函 数 ” c o n c a t ( ) ” 的 规 则 写 法 ， “ c o n c a t ( ” 或 者 ” c o n c a t s * ( ” ， 就 没 有 考 虑 到 一 些 特 殊 字 符 。 c o n c a t % 2 5 2 0 (
c o n c a t / * * / ( c o n c a t % 2 5 0 c ( c o n c a t % 2 5 a 0 ( 6 . 浮 点 数 词 法 解 析 浮 点 数 词 法 解 析 利 用 M y S Q L 解 析 浮 点 数 的 特 点 ， 正 则 表 达 式 无 法 匹 配 出 单 词 u n i o n ， 但 是 M y S Q L 词 法 解 析 成 功 解 析 出 浮 点 数 、 s q l 关 键 字 u n i o n 。 s e l e c t   *   f r o m   u s e r s   w h e r e   i d = 8 E 0 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 0 s e l e c t   *   f r o m   u s e r s   w h e r e   i d = 8 . 0 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 0 7 . 报 错 注 入 报 错 注 入 E r r o r - b a s e d 的 S Q L 注 入 函 数 非 常 容 易 被 忽 略 ， 导 致 W A F 规 则 过 滤 不 完 整 。 常 见 的 函 数 ： e x t r a c t v a l u e ( 1 ,   c o n c a t ( 0 x 5 c , m d 5 ( 3 ) ) ) ; u p d a t e x m l ( 1 ,   c o n c a t ( 0 x 5 d , m d 5 ( 3 ) ) , 1 ) ; G e o m e t r y C o l l e c t i o n ( ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t @ @ v e r s i o n ) f ) x ) ) p o l y g o n ( ( s e l e c t * f r o m ( s e l e c t   n a m e _ c o n s t ( v e r s i o n ( ) , 1 ) ) x ) ) l i n e s t r i n g ( ) m u l t i p o i n t ( ) m u l t i l i n e s t r i n g ( ) m u l t i p o l y g o n ( ) 二 二 . 绕 上 传 绕 上 传 关 键 是 ： w a f 与 w e b s e r v e r 的 差 异 （ w a f 的 局 限 性 与 w e b s e r v e r 的 灵 活 性 ） 。 1 . 协 议 解 析 不 一 致 协 议 解 析 不 一 致 - 文 件 名 解 析 兼 容 性 文 件 名 解 析 兼 容 性   m u l t i p a r t 协 议 中 ， 文 件 名 的 形 式 为 “ f i l e n a m e = ” a b c . p h p ” ” 。 但 是 T o m c a t 、 P H P 等 容 器 解 析 协 议 时 会 做 一 些 兼 容 ， 能 正 确 解 析 ” f i l e n a m e = ” a b c . p h p ” 、 ” f i l e n a m e = a b c . p h p ” 、   ” f i l e n a m e = ’ a b c . p h p ’ ” 。 而 W A F 只 按 照 协 议 标 准 去 解 析 ， 无 法 解 析 文 件 名 ， 但 是 后 端 容 器 能 正 确 获 得 文 件 名 ， 从 而 导 致 被 绕 过 。 场 景 的 绕 过 形 式 ： C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = ” f i l e ” ;   f i l e n a m e = b c . p h p C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = ” f i l e ” ;   f i l e n a m e = ” a b c . p h p C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = ” f i l e ” ;   f i l e n a m e = ’ a b c . p h p ’ 2 . 协 议 解 析 不 正 确 协 议 解 析 不 正 确 - 未 解 析 所 有 文 件 未 解 析 所 有 文 件
m u l t i p a r t 协 议 中 ， 一 个 P O S T 请 求 可 以 同 时 上 传 多 个 文 件 。 如 图 ， 许 多 W A F 只 检 查 第 一 个 上 传 文 件 ， 没 有 检 查 上 传 的 所 有 文 件 ， 而 实 际 后 端 容 器 会 解 析 所 有 上 传 的 文 件 名 ， 攻 击 者 只 需 把 p a y l a o d 放 在 后 面 的 文 件 P A R T ， 即 可 绕 过 。 3 . 协 议 解 析 不 正 确 协 议 解 析 不 正 确 - 文 件 名 覆 盖 文 件 名 覆 盖 在 m u l t i p a r t 协 议 中 ， 一 个 文 件 上 传 块 存 在 多 个 C o n t e n t - D i s p o s i t i o n ， 将 以 最 后 一 个 C o n t e n t - D i s p o s i t i o n 的 f i l e n a m e 值 作 为 上 传 的 文 件 名 。 许 多 W A F 解 析 到 第 一 个 C o n t e n t - D i s p o s i t i o n 就 认 为 协 议 解 析 完 毕 ， 获 得 上 传 的 文 件 名 ， 从 而 导 致 被 绕 过 。 如 图 ， 加 速 乐 的 W A F 解 析 得 到 文 件 名 是 ” s p . p h o ” ， 但 P H P 解 析 结 果 是 ” s p . p h p ” ， 导 致 被 绕 过 。 4 . 变 换 位 置 变 换 位 置 因 为 W e b S e r v e r 获 取 参 数 的 灵 活 性 ， 所 以 我 尝 试 把 安 全 狗 拦 截 的 f i l e n a m e = ” t e s t . a s p ” 换 个 位 置 。 经 过 一 番 测 试 ， 发 现 f i l e n a m e = ” t e s t . a s p ” 位 于 C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m 下 一 行 时 ， 安 全 狗 的 上 传 拦 截 便 会 失 效 。 5 . 文 件 名 覆 盖 文 件 名 覆 盖 在 一 个 C o n t e n t - D i s p o s i t i o n   中 ， 存 在 多 个 f i l e n a m e   ， 协 议 解 析 应 该 使 用 最 后 的 f i l e n a m e 值 作 为 文 件 名 。 如 果 W A F 解 析 到 f i l e n a m e = ” p 3 . t x t ” 认 为 解 析 到 文 件 名 ， 结 束 解 析 ， 将 导 致 被 绕 过 。 因 为 后 端 容 器 解 析 到 的 文 件 名 是 t 3 . j s p 。 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ; n a m e = ” m y f i l e ” ;   f i l e n a m e = ” p 3 . t x t ” ; f i l e n a m e = ” t 3 . j s p ” 》 6 . 遗 漏 文 件 名 遗 漏 文 件 名 当 W A F 遇 到 “ n a m e = ” m y f i l e ” ; ; ” 时 ， 认 为 没 有 解 析 到 f i l e n a m e 。 而 后 端 容 器 继 续 解 析 到 的 文 件 名 是 t 3 . j s p ， 导 致 W A F 被 绕 过 。 《 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ; n a m e = ” m y f i l e ” ; ;   f i l e n a m e = ” t 3 . j s p ” 》 7 . 任 意 文 件 下 载 任 意 文 件 下 载 （ 1 ） 相 对 路 径 ： 所 以 W A F 文 件 包 含 规 则 通 常 会 检 测 连 续 的 “ . . / ” 。 根 据 v f s 解 析 路 径 的 语 法 ， 解 析 到 “ / / ” 文 件 路 径 不 变 ， 解 析 到 “ / . / ” 文 件 路 径 依 然 。   通 过 避 免 连 续 的 ” . . / ” ， 从 而 绕 过 W A F 文 件 包 含 规 则 。 E g :   . / . / . . / / / . / . . / . / / . . / e t c / / p a s s w d ， 它 等 价 于 . . / . . / . . / e t c / p a s s w d 。 （ 2 ） 绝 对 路 径 ： 例 如   / e t c / . / p a s s w d   与   / e t c / p a s s w d   是 等 价 的 。 还 可 以 通 过 组 合 “ / . / ” 、 “ / / ” 进 行 绕 过 ， E g . / e t c / / / . / / . / . / / p a s s w d
/ e t c / p a s s w d       / e t c . / . / . / . / p a s s w d 代 码 级 代 码 级 w a f   所 谓 代 码 级 的 W A F 是 指 程 序 员 在 程 序 内 部 ， 借 助 自 身 编 写 的 过 滤 函 数 来 保 护 应 用 程 序 的 安 全 。 以 下 是 三 种 脚 本 语 言 通 常 会 使 用 的 过 滤 位 置 ： 1 .   p h p 在 p h p . i n i 中 设 置 ;   A u t o m a t i c a l l y   a d d   f i l e s   b e f o r e   P H P   d o c u m e n t . ;   a u t o - p r e p e n d - f i l e a u t o _ p r e p e n d _ f i l e   = ;   A u t o m a t i c a l l y   a d d   f i l e s   a f t e r   P H P   d o c u m e n t . ;   a u t o - a p p e n d - f i l e a u t o _ a p p e n d _ f i l e   = 配 置 指 令 ， 这 些 指 令 指 向 那 些 在 每 个 请 求 的 P H P 脚 本 执 行 ” 之 前 ” 和 ” 之 后 ” 才 执 行 的 P H P 文 件 。 这 样 就 可 以 在 各 种 H T T P 请 求 集 合 ( G E T , P O S T , C O O K I E ) 之 前 对 数 据 进 行 一 些 前 发 处 理 。 2 . a s p . n e t 通 过 A S P . N E T 的 S y s t e m . W e b . I H t t p M o d u l e 接 口 来 实 现 3 . j a v a 通 过 f i l t e r 来 实 现 。 比 如 t o m c a t 会 在 w e b . x m l 的 配 置 文 件 中 配 置 过 滤 类 。 绕 过 基 于 规 则 的 绕 过 基 于 规 则 的 W A F   目 前 市 面 的 大 部 分 W A F 是 通 过 规 则 来 实 现 的 ， 既 然 是 规 则 ， 就 一 定 存 在 不 全 面 、 不 准 确 的 情 况 。 下 面 举 几 个 例 子 帮 助 大 家 拓 展 一 下 思 路 ： 1 . 封 禁 封 禁 I P 比 如 有 些 w a f 会 对 重 复 的 I P 访 问 进 行 封 锁 , 这 时 可 以 用 在 请 求 包 体 中 加 入     “ X - O r i g i n a t i n g - I P : 1 2 7 . 0 . 0 . 1 ” ， 因 为 w a f 不 会 拦 截 他 自 己 。 2 . 前 端 前 端 w a f 针 对 于 前 端 的 针 对 于 前 端 的 w a f , 可 以 直 接 通 过 可 以 直 接 通 过 b u r p 抓 包 绕 过 抓 包 绕 过 3 . 改 变 改 变 u s e r - a g e n t 我 们 在 写 网 站 防 火 墙 规 则 的 时 候 可 能 都 会 做 一 件 事 : 永 远 不 屏 蔽 那 些 主 流 搜 索 引 擎 机 器 人 的 爬 取 ( 如 , G o o g l e , B i n g , Y a h o o , B a i d u 等 ) . 这 时 我 们 就 可 以 在 U S E R - A g e n t 伪 造 自 己 是 搜 索 引 擎 的 爬 虫 ， 绕 过 w a f . 4 . 缓 冲 区 溢 出 缓 冲 区 溢 出 比 如 w a f 只 允 许 长 度 是 2 M 的 包 体 ， 而 服 务 器 则 可 以 接 受 8 M 的 包 体 ， 这 种 情 况   可 以 通 过 发 送 2 M - 8 M 的 包 体 将 W A F 溢 出 死 。 5 . 替 换 关 键 字 替 换 关 键 字 需 要 考 虑 w a f 具 体 怎 么 拦 截 的 ， S e l e s e l e c t c t , 倘 若 将 中 间 的 关 键 字 删 掉 ， 则 可 以 绕 过 。 6 . w e b s e r v e r 特 性 特 性 i i s   自 动 忽 略 %
我 们 知 道 a s p 有 两 个 特 性 1 . 会 将 R e q u e s t 中 的 不 能 编 码 部 分 的 % 去 掉 2 . R e q u e s t 中 如 果 有 u n i c o d e 部 分 会 将 其 进 行 解 码 I I S 6 . 0 两 个 解 析 缺 陷 ： 目 录 名 包 含 . a s p 、 . a s a 、 . c e r 的 话 ， 则 该 目 录 下 的 所 有 文 件 都 将 按 照 a s p 解 析 。 A p a c h e 1 . X   2 . X 解 析 漏 洞 ： A p a c h e 在 以 上 版 本 中 ， 解 析 文 件 名 的 方 式 是 从 后 向 前 识 别 扩 展 名 ， 直 到 遇 见 A p a c h e 可 识 别 的 扩 展 名 为 止 。 N g i n x 解 析 漏 洞 ： N g i n x   0 . 5 . * N g i n x   0 . 6 . * N g i n x   0 . 7   < =   0 . 7 . 6 5 N g i n x   0 . 8   < =   0 . 8 . 3 7 ， 以 上 N g i n x 容 器 的 版 本 下 ， 上 传 一 个 在 w a f 白 名 单 之 内 扩 展 名 的 文 件 s h e l l . j p g ， 然 后 以 s h e l l . j p g . p h p 进 行 请 求 。 N g i n x   0 . 8 . 4 1   –   1 . 5 . 6 ： 以 上 N g i n x 容 器 的 版 本 下 ， 上 传 一 个 在 w a f 白 名 单 之 内 扩 展 名 的 文 件 s h e l l . j p g ， 然 后 以 s h e l l . j p g % 2 0 . p h p 进 行 请 求 。 P H P   C G I 解 析 漏 洞   :   I I S   7 . 0 / 7 . 5   和   N g i n x   <   0 . 8 . 3   以 上 的 容 器 版 本 中 默 认 p h p 配 置 文 件 c g i . f i x _ p a t h i n f o = 1 时 ， 上 传 一 个 存 在 于 白 名 单 的 扩 展 名 文 件 s h e l l . j p g ， 在 请 求 时 以 s h e l l . j p g / s h e l l . p h p 请 求 ， 会 将 s h e l l . j p g 以 p h p 来 解 析 。 参 数 污 染 ： 比 如 w a f 只 接 受 前 一 个 参 数 这 意 味 着 ， 通 过 注 入 :   i d = 7 & i d = [ S Q L i ] W A F 的 网 络 层 会 解 析   i d = 7   , 合 法 P H P 应 用 层 会 解 析   i d = [ S Q L i ]   注 入 语 句 成 功 执 行 7 . 数 据 库 特 性 数 据 库 特 性 m y s q l ： 1 . 隐 形 类 型 转 换 2 . 为 了 便 利 性   牺 牲 安 全 性 。 （ s e l e c t   *   f r o m   a d m i n   w h e r e   u s e r = “ A d m i n ”       可 以 执 行 ，     m y s q l 为 了   使 用 的 便 利 性   会 允 许 一 些   ‘ 错 误 ’ ， 比 如   s e l e c t   *   f r o m   a d m i n   w h e r e   u s e r = “   À   d m i n ”   依 然 可 移 执 行 。 3 . M y S Q L 文 件 读 取   ( 5 . 5 以 上 的 版 本     由 于 s e c u r e _ f i l e _ p r i v 这 个 变 量 为 n u l l   因 此 无 法 使 用 文 件 读 取     文 件 写 入 的 功 能 。 ) 8 . 服 务 器 特 性 服 务 器 特 性 W i n d o w s 特 殊 字 符 ： 当 我 们 上 传 一 个 文 件 的 f i l e n a m e 为 s h e l l . p h p { % 8 0 - % 9 9 } 时 ： w a f 可 能 识 别 为 . p h p { % 8 0 - % 9 9 } ， 就 会 导 致 被 绕 过 。 N T F S   A D S 特 性 ： 特 性 ： A D S 是 N T F S 磁 盘 格 式 的 一 个 特 性 ， 用 于 N T F S 交 换 数 据 流 。 在 上 传 文 件 时 ， 如 果 w a f 对 请 求 正 文 的 f i l e n a m e 匹 配 不 当 的 话 可 能 会 导 致 绕 过 。 W i n d o w s 在 创 建 文 件 时 ， 在 文 件 名 末 尾 不 管 加 多 少 点 都 会 自 动 去 除 ， 那 么 上 传 时 f i l e n a m e 可 以 这 么 写 s h e l l . p h p … … 也 可 以 这 么 写 s h e l l . p h p : : $ D A T A … … . 。 总 结 ： 本 文 主 要 对 基 于 规 则 的 W A F 的 绕 过 技 巧 ， 基 于 规 则 的 w a f 有 着 天 然 的 缺 陷 型 ， 构 造 出 基 于 规 则 之 外 的 特 性 就 有 可 能 绕 过 。 或 者 干 脆 将 W A F 直 接 打 挂 ， 这 时 w a f 很 有 可 能 直 接 启 用 B y p a s s 模 式 。 * 本 文 原 创 作 者 ： m 0 9 0 4 6 1 0 5 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理