搜索

[13659] 2019-01-16_在HTTP协议层面绕过WAF

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-01-16_在HTTP协议层面绕过WAF 在 H T T P 协 议 层 面 绕 过 W A F b y p a s s w o r d   F r e e B u f   2 0 1 9 - 0 1 - 1 6 P S ： 本 文 仅 作 技 术 分 析 ， 禁 止 用 于 其 它 非 法 用 途 ： 本 文 仅 作 技 术 分 析 ， 禁 止 用 于 其 它 非 法 用 途 首 先 ， 自 我 介 绍 一 下 。 小 白 一 名 ， 2 0 1 7 年 才 接 触 W e b 渗 透 测 试 ， 至 于 为 啥 ， 当 然 是 自 己 的 网 站 被 攻 破 了 … … 进 入 正 题 ， 随 着 安 全 意 思 增 强 ， 各 企 业 对 自 己 的 网 站 也 更 加 注 重 安 全 性 。 但 很 多 进 入 正 题 ， 随 着 安 全 意 思 增 强 ， 各 企 业 对 自 己 的 网 站 也 更 加 注 重 安 全 性 。 但 很 多 w e b 应 用 因 为 老 旧 ， 或 贪 图 方 应 用 因 为 老 旧 ， 或 贪 图 方 便 想 以 最 小 代 价 保 证 应 用 安 全 ， 就 只 仅 仅 给 服 务 器 安 装 便 想 以 最 小 代 价 保 证 应 用 安 全 ， 就 只 仅 仅 给 服 务 器 安 装 w a f 。 所 以 渗 透 测 试 过 程 中 经 常 遇 到 惹 人 烦 的 。 所 以 渗 透 测 试 过 程 中 经 常 遇 到 惹 人 烦 的 w e b 应 用 防 应 用 防 火 墙 火 墙 , 只 有 突 破 这 第 一 道 防 御 ， 接 下 来 的 渗 透 才 能 顺 利 进 行 。 本 次 从 协 议 层 面 绕 过 只 有 突 破 这 第 一 道 防 御 ， 接 下 来 的 渗 透 才 能 顺 利 进 行 。 本 次 从 协 议 层 面 绕 过 w a f 实 验 用 实 验 用 s q l 注 入 演 示 ， 但 不 注 入 演 示 ， 但 不 限 于 实 际 应 用 时 测 试 限 于 实 际 应 用 时 测 试 s q l 注 入 （ 命 令 执 行 ， 代 码 执 行 ， 文 件 上 传 等 测 试 都 通 用 ） 。 注 入 （ 命 令 执 行 ， 代 码 执 行 ， 文 件 上 传 等 测 试 都 通 用 ） 。 声 明 ： 这 次 实 验 的 思 路 方 法 并 非 自 己 想 出 来 的 ， 是 听 了 某 大 牛 的 公 开 课 总 结 学 习 而 来 。 声 明 ： 这 次 实 验 的 思 路 方 法 并 非 自 己 想 出 来 的 ， 是 听 了 某 大 牛 的 公 开 课 总 结 学 习 而 来 。 原 理 原 理 给 服 务 器 发 送 p a y l o a d 数 据 包 ， 使 得 w a f 无 法 识 别 出 p a y l o a d , 当 a p a c h e , t o m c a t 等 w e b 容 器 能 正 常 解 析 其 内 容 。 如 图 一 所 示 图 一 实 验 环 境 实 验 环 境 本 机 w i n 1 0 + x a m p p + 某 狗 w e b 应 用 防 火 墙 最 新 版 。 为 方 便 演 示 ， 存 在 s q l 注 入 的 脚 本 中 使 用 $ _ R E Q U E S T [ " i d " ] 来 接 收 g e t , 或 者 p o s t 提 交 的 数 据 。 w a f 配 置 为 拦 截 u r l 和 p o s t 的 a n d     o r   注 入 ， 如 图 二 所 示 。
图 二 发 送 g e t 请 求 或 利 用 h a c k b a r 插 件 发 送 p o s t 请 求 p a y l o a d 均 被 拦 截 ， 如 图 三 。 图 三 一 一 ·     利 用 利 用 p i p l i n e 绕 过 绕 过 [ 该 方 法 经 测 试 会 被 某 狗 拦 截 该 方 法 经 测 试 会 被 某 狗 拦 截 ] 原 理 原 理 ： ： h t t p 协 议 是 由 t c p 协 议 封 装 而 来 ， 当 浏 览 器 发 起 一 个 h t t p 请 求 时 ， 浏 览 器 先 和 服 务 器 建 立 起 连 接 t c p 连 接 ， 然 后 发 送 h t t p 数 据 包 （ 即 我 们 用 b u r p s u i t e 截 获 的 数 据 ） ， 其 中 包 含 了 一 个 C o n n e c t i o n 字 段 ， 一 般 值 为 c l o s e ， a p a c h e 等 容 器 根 据 这 个 字 段 决 定 是 保 持 该 t c p 连 接 或 是 断 开 。 当 发 送 的 内 容 太 大 ， 超 过 一 个 h t t p 包 容 量 ， 需 要 分 多 次 发 送 时 ， 值 会 变 成 k e e p - a l i v e ， 即 本 次 发 起 的 h t t p 请 求 所 建 立 的 t c p 连 接 不 断 开 ， 直 到 所 发 送 内 容 结 束 C o n n e c t i o n 为 c l o s e 为 止 。 1 .   关 闭 b u r p 的 R e p e a t e r 的 C o n t e n t - L e n g t h 自 动 更 新 ， 如 图 四 所 示 ， 点 击 红 圈 的 R e p e a t e r 在 下 拉 选 项 中 取 消 u p d a t e C o n t e n t - L e n g t h 选 中 。 这 一 步 至 关 重 要 ！ ！ ！ 这 一 步 至 关 重 要 ！ ！ ！ 图 四 2 .   b u r p 截 获 p o s t 提 交
, 显 示 被 w a f 拦 截 如 图 五 所 示 。 图 五 3 .   复 制 图 五 中 的 数 据 包 黏 贴 到 后 面 如 图 六 所 示 。 i d = 1   a n d   1 = 1 i d = 1   a n d   1 = 1
图 六 4 .   接 着 修 改 第 一 个 数 据 包 的 数 据 部 分 ， 即 将 修 改 为 正 常 内 容 i d = 1 ， 再 将 数 据 包 的 C o n t e n t - L e n g t h 的 值 设 置 为 修 改 后 的 【 i d = 1 】 的 字 符 长 度 即 4 ， 最 后 将 C o n n e c t i o n 字 段 值 设 为 k e e p - a l i v e 。 提 交 后 如 图 七 所 示 ， 会 返 回 两 个 响 应 包 ， 分 别 对 应 两 个 请 求 。 i d = 1 + a n d + 1 % 3 D 1
图 七 注 意 ： 注 意 ： 从 结 果 看 ， 第 一 个 正 常 数 据 包 返 回 了 正 确 内 容 ， 第 二 个 包 含 有 效 载 荷 的 数 据 包 被 某 狗 w a f 拦 截 ， 说 明 两 数 据 包 都 能 到 达 服 务 器 ， 在 面 对 其 他 w a f 时 有 可 能 可 以 绕 过 。 无 论 如 何 这 仍 是 一 种 可 学 习 了 解 的 绕 过 方 法 ， 且 可 以 和 接 下 来 的 方 法 进 行 组 合 使 用 绕 过 。 二 二 . 利 用 分 块 编 码 传 输 绕 过 利 用 分 块 编 码 传 输 绕 过 [ 该 方 法 可 绕 某 狗 该 方 法 可 绕 某 狗 ] 原 理 ： 原 理 ： 在 头 部 加 入   T r a n s f e r - E n c o d i n g :   c h u n k e d   之 后 ， 就 代 表 这 个 报 文 采 用 了 分 块 编 码 。 这 时 ， p o s t 请 求 报 文 中 的 数 据 部 分 需 要 改 为 用 一 系 列 分 块 来 传 输 。 每 个 分 块 包 含 十 六 进 制 的 长 度 值 和 数 据 ， 长 度 值 独 占 一 行 ， 长 度 不 包 括 它 结 尾 的 ， 也 不 包 括 分 块 数 据 结 尾 的 ， 且 最 后 需 要 用 0 独 占 一 行 表 示 结 束 。 1 .   开 启 上 个 实 验 中 已 关 闭 的 c o n t e n t - l e n g t h 自 动 更 新 。 给 p o s t 请 求 包 加 入 T r a n s f e r - E n c o d i n g :   c h u n k e d 后 ， 将 数 据 部 分 i d = 1   a n d   1 = 1 进 行 分 块 编 码 （ 注 意 长 度 值 必 须 为 十 六 进 制 数 ） ， 每 一 块 里 长 度 值 独 占 一 行 ， 数 据 占 一 行 如 图 八 所 示 。 图 八 2 . 将 上 面 图 八 数 据 包 的 改 为 i d = 1   a n d   1 = 1
  即 将 图 八 中 所 标 的 第 4 块 的 1 改 为 2 。 如 图 九 所 示 没 有 返 回 数 据 ， p a y l o a d 生 效 。 图 九 注 意 ： 分 块 编 码 传 输 需 要 将 关 键 字 a n d , o r , s e l e c t   , u n i o n 等 关 键 字 拆 开 编 码 ， 不 然 仍 然 会 被 w a f 拦 截 。 编 码 过 程 中 长 度 需 包 括 空 格 的 长 度 。 最 后 用 0 表 示 编 码 结 束 ， 并 在 0 后 空 两 行 表 示 数 据 包 结 束 ， 不 然 点 击 提 交 按 钮 后 会 看 到 一 直 处 于 w a i t i n g 状 态 。 三 三 . 利 用 协 议 未 覆 盖 进 行 绕 过 利 用 协 议 未 覆 盖 进 行 绕 过 [ 同 样 会 被 某 狗 拦 截 同 样 会 被 某 狗 拦 截 ] 原 理 ： 原 理 ： H T T P 头 里 的 C o n t e n t - T y p e 一 般 有 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ， m u l t i p a r t / f o r m - d a t a ， t e x t / p l a i n 三 种 ， 其 中 m u l t i p a r t / f o r m - d a t a 表 示 数 据 被 编 码 为 一 条 消 息 ， 页 上 的 每 个 控 件 对 应 消 息 中 的 一 个 部 分 。 所 以 ， 当 w a f 没 有 规 则 匹 配 该 协 议 传 输 的 数 据 时 可 被 绕 过 。 1 . 将 头 部 C o n t e n t - T y p e 改 为 m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = 6 9       然 后 设 置 分 割 符 内 的 C o n t e n t - D i s p o s i t i o n 的 n a m e 为 要 传 参 数 的 名 称 。 数 据 部 分 则 放 在 分 割 结 束 符 上 一 行 。 图 十 由 于 是 正 常 数 据 提 交 ， 所 以 从 图 十 可 知 数 据 是 能 被 a p a c h e 容 器 正 确 解 析 的 ， 尝 试 1   a n d   1 = 1 也 会 被 某 狗 w a f 拦 截 ， 但 如 果 其 他 w a f 没 有 规 则 拦 截 这 种 方 式 提 交 的 数 据 包 ， 那 么 同 样 能 绕 过 。 2 . 一 般 绕 w a f 往 往 需 要 多 种 方 式 结 合 使 用 ， 如 图 十 的 示 例 中 ， 只 需 将 数 据 部 分 1   a n d   1 = 1 用 一 个 小 数 点 " . " 当 作 连 接 符 即 1 . a n d   1 = 1 就 可 以 起 到 绕 过 作 用 。 当 然 ， 这 只 是 用 小 数 点 当 连 接 符 所 起 的 作 用 而 已 。 如 图 十 一 所 示 。 i d = 1   a n d   1 = 2
图 十 一 四 四 . 分 块 编 码 分 块 编 码 + 协 议 未 覆 盖 组 合 绕 过 协 议 未 覆 盖 组 合 绕 过 1 . 在 协 议 未 覆 盖 的 数 据 包 中 加 入 T r a n s f e r - E n c o d i n g :   c h u n k e d   ， 然 后 将 数 据 部 分 全 部 进 行 分 块 编 码 ， 如 图 十 二 所 示 ( 数 据 部 分 为 1   a n d   1 = 1 ) 。 图 十 二 注 意 ： 注 意 ： 第 2 块 ， 第 3 块 ， 第 7 块 ， 和 第 8 块 。 第 第 2 块 块 中 需 要 满 足 这 种 形 式 ， 且 长 度 值 要 将 两 个 空 行 的 长 度 计 算 在 内 （ 空 行 长 度 为 2 ） 。 第 第 3 块 块 ， 即 数 据 开 始 部 分 需 满 足 形 式 ， 且 需 将 空 行 计 算 在 内 。 第 第 7 块 块 即 分 割 边 界 结 束 部 分 ， 需 满 足 形 式 ， 且 计 算 空 行 长 度 在 内 。 第 第 8 块 块 需 满 足 长 度 值 空 行 C o n t e n t - D i s p o s i t i o n :   n a m e = " i d " 空 行 长 度 值   空 行 数 据 长 度 值 空 行 分 割 结 束 符 空 行
形 式 。 如 果 不 同 时 满 足 这 四 块 的 形 式 要 求 ， p a y l o a d 将 不 会 生 效 。 结 语 ： 结 语 ： 以 上 是 在 h t t p 协 议 层 面 绕 过 w a f ， 因 为 比 较 通 用 ， 所 以 理 论 上 可 以 用 于 平 时 渗 透 时 的 方 方 面 面 ， 如 命 令 执 行 ， 代 码 注 入 ， s q l 注 入 等 测 试 。 虽 然 本 文 中 只 有 分 块 编 码 真 正 做 到 了 绕 过 某 狗 ， 但 其 他 两 种 方 法 在 其 他 w a f 绕 过 中 可 能 仍 然 可 用 ， 而 且 可 与 其 他 绕 过 方 法 结 合 使 用 ， 甚 至 像 四 中 一 样 相 互 组 合 使 用 。 * 本 文 作 者 ： b y p a s s w o r d ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文 0     空 行 空 行
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理