搜索

[13516] 2018-12-10_一则有趣的XSSWAF规则探测与绕过

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-10_一则有趣的XSSWAF规则探测与绕过 一 则 有 趣 的 X S S   W A F 规 则 探 测 与 绕 过 C o n a n   F r e e B u f   2 0 1 8 - 1 2 - 1 0 前 言 前 言 本 文 本 文 是 是 以 以 B 站 一 个 有 趣 的 站 一 个 有 趣 的 X S S ( 已 修 复 已 修 复 ) 为 引 子 为 引 子 ( 为 什 么 说 有 趣 后 面 再 解 释 为 什 么 说 有 趣 后 面 再 解 释 ) ， 作 为 实 例 分 析 其 ， 作 为 实 例 分 析 其 W A F 的 规 则 ， 方 便 大 的 规 则 ， 方 便 大 家 加 深 对 家 加 深 对 X S S   W A F 探 测 以 及 针 对 性 探 测 以 及 针 对 性 b y p a s s 的 理 解 。 的 理 解 。 进 入 主 题 进 入 主 题 一 、 一 般 w a f 是 由 多 条 正 则 配 合 使 用 ， 因 而 绕 过 也 必 须 根 据 实 际 情 况 构 造 x s s 探 针 " ; > d d d ` 的 方 式 逐 步 理 清 w a f 规 则 ， 对 于 没 被 w a 的 再 在 c h r o m e 浏 览 器 的 e l e m e n t 和 s o u r c e 看 x s s 探 针 的 解 析 ， 慢 慢 耐 心 尝 试 即 可 。 二 、 个 人 对 于 w a f   b y p a s s 的 理 解 : 本 来 应 当 被 w a 会 生 效 的 p a y l o a d 不 在 规 则 库 里 或 用 本 来 就 不 会 生 效 的 p a y l o a d ( 这 时 候 是 大 概 率 能 通 过 w a f 的 ) 经 过 服 务 器 处 理 后 p a y l o a d 最 后 生 效 了 。 三 、 过 程 1 .   首 先 是 7 师 傅 给 了 一 个 链 接 ， 让 我 们 绕 一 绕 b 站 的 w a f , c a l l b a c k 参 数 存 在 x s s 。 2 .   上 x s s 探 针 : " > d d d ` 可 以 看 到 探 针 成 功 被 解 析 为 标 签 和 属 性 。 3 .   上 经 典 p a y l o a d ( 这 里 由 于 可 以 控 制 标 签 ， 优 先 使 用 ) : 对 于 ' ' ; < i m g > < s c r i p t > < i m g   s r c = x   o n e r r o r = a l e r t ( 1 ) >
对 于 可 以 看 到 均 被 w a f 拦 截 了 。 4 .   分 析 w a f 规 则 : 基 于 从 局 部 到 整 体 的 思 想 ( 这 里 是 可 以 写 成 一 个 自 动 化 的 w a f 规 则 探 测 脚 本 的 , x s s t r i k e 有 简 单 的 w a f 探 测 规 则 ) 这 里 是 x s s t r i k e 的 简 单 探 测 截 图 ： < s c r i p t > a l e r t ( 1 ) < s c r i p t >
于 是 可 以 率 先 得 到 一 条 w a f 规 则 :   ( 注 意 实 际 的 正 则 可 能 特 别 复 杂 ， 这 里 是 简 化 版 的 ， 没 有 考 虑 一 些 特 殊 字 符 ， 比 如 字 母 和 数 字 可 能 可 以 互 换 ， 还 有 一 些 特 殊 字 符 ， 空 格 等 等 ， 这 里 能 大 致 描 述 清 楚 w a f 的 正 则 表 达 式 的 主 要 结 构 就 可 以 了 ， 下 面 出 现 的 正 则 表 达 式 同 理 )   。 验 证 一 下 确 实 如 此   ： < s c r i p t s + [ ^ > ] * s r c = . *
5 .   开 始 我 们 的 手 工 w a f 规 则 分 析 ( 1 )   局 部 探 测   会 w a 么 ， 没 有 w a ：         a l e r t ( 1 ) 会 w a 么 ， 没 有 w a   ： 单 独 的 o n e r r o r 会 w a 么 ， 没 有 ： < i m g >
s r c = x 会 w a 么 ， 没 有 w a ： 因 此 是 某 部 分 组 合 起 来 了 才 导 致 被 w a 了 ， 单 独 的 并 没 有   。 ( 2 )   尝 试 逐 步 组 合 会 w a 么 , 没 有 w a ： 会 w a 么 ， 没 有 w a ： < i m g   s r c = x > < i m g   s r c = x   o n e r r o r = x x x x >
会 w a 么 ， 没 有 w a ： 会 w a 么 ， 终 于 w a 了 哈 哈 ： ( 3 )   回 溯 w a f 规 则 ，   会 w a 么 ， 不 w a   ： < i m g   s r c = x   o n e r r o r = a l e r t ( > < i m g   s r c = x   o n e r r o r = a l e r t ( x x x x > < i m g   s r c = x   o n e r r o r = a a a ( b b b >
这 里 我 们 就 可 以 得 知 a a a 处 存 在 黑 名 单 校 验 , a l e r t 在 黑 名 单 里 ， 试 试 p r o m p t / c o n f i r m 呢   ： 均 被 w a 了 ， 单 独 提 取 出   呢 ， 竟 然 不 会 ： 再 试 试 , 终 于 w a 了   ： o n e r r o r = a l e r t ( x x x x o n e r r o r = a l e r t ( x x x x )
这 里 就 要 分 析 为 什 么 会 w a ， 但 不 会 ， 只 有 补 全 了 右 括 号 才 会 的 原 因 ， 我 的 猜 测 是 前 者 触 发 了 另 一 条 w a f 规 则 ( 针 对 标 签 开 头 的 w a f 规 则 , 用 成 功 触 发 w a f ( 注 意 这 里 用 w 的 原 因 是 比 较 懒 ， 经 过 测 试 数 字 型 o n 1 1 1 1 并 不 会 被 w a ， 描 述 清 结 构 即 可 = 。 = ) 而 后 者 对 应 的 w a f 规 则 直 接 是   。 到 这 里 我 们 明 白 我 们 的 p a y l o a d 被 w a 的 原 因 是 触 发 了 下 列 这 两 条 ( 同 时 触 发 或 者 触 发 其 中 一 条 都 会 w a ) 。 < i m g   s r c = x   o n e r r o r = a l e r t ( x x x x > o n e r r o r = a l e r t ( x x x x < [ ^ > ] * s + o n w + = ( ? : p r o m p t | a l e r t | c o n f i r m ) { 1 } ( w + < . . a a a a   o n b b b b = a l e r t ( c c c o n w + = ( ? : p r o m p t | a l e r t | c o n f i r m ) { 1 } ( w + ) o n w + = ( ? : p r o m p t | a l e r t | c o n f i r m ) { 1 } ( w + ) < [ ^ > ] * s + o n w + = ( ? : p r o m p t | a l e r t | c o n f i r m ) { 1 } ( w +
分 析 第 一 条 规 则 和 第 二 条 规 则 ， 最 主 要 的 是 对 弹 框 函 数 的 过 滤 ， 因 此 使 用 黑 名 单 之 外 的 函 数 可 能 b y p a s s , 测 试 发 现 c o n s o l e . l o g 可 以 绕 过 ： 但 这 里 要 求 是 弹 框 ， 对 于 函 数 的 黑 名 单 我 们 想 到 了 可 以 用 t o p 对 象 绕 过 或 者 由 于 的 存 在 不 匹 配 字 母 数 字 或 者 下 划 线 ( ) 导 致 不 匹 配 正 则 表 达 式 也 就 不 会 被 w a 。 ( 4 )   对 于 7 师 傅 的 解 法 的 分 析 : a .   使 用 s c r i p t 标 签 利 用 响 应 包 会 拼 接 双 写 p a y l o a d 绕 过 ( 基 于 特 殊 情 景 构 造 不 在 w a f 规 则 里 的 无 效 p a y l o a d , 经 过 组 合 后 又 生 效 了 ， 也 就 是 上 文 之 前 对 于 b y p a s s 的 第 二 种 理 解 ) 利 用 + 拼 接 闭 合 中 间 的   ， 然 后 浏 览 器 解 析 的 时 候 为 我 们 补 上 了 最 后 的 p a y l o a d 向 量 结 构 : t o p [ ' a l e r t ' ] ( 1 ) t o p [ ' a l ' + ' e r t ' ] ( 1 ) [ ] w < i m g   s r c = x   o n e r r o r = t o p [ ' a l e r t ' ] ( 1 ) > < / s c r i p t > < s c r i p t > < / s c r i p t > < / s c r i p t > < s c r i p t > 标 签 < / s c r i p t > a a a < / s c r i p t > b b b < s c r i p t > c c c
可 以 看 到 最 后 a a a 和 c c c 都 是 在 标 签 里 了 ， 并 且 a a a 换 成 函 数 名 + 括 号 可 以 绕 过 了 正 则 , 将 a 替 换 为   ， 将 c 替 换 为 任 意 一 个 不 被 w a 的 变 量 或 内 置 函 数 对 象 名 即 可 p a y l o a d : b .   7 师 傅 的 解 法 巧 妙 利 用 了 前 后 双 写 拼 接 闭 合 中 间 的 方 式 绕 过 后 的 绝 大 部 分 正 则 检 测 ， 但 对 于 正 则 的 描 述 还 不 够 具 体 ，   并 不 会 被 w a < s c r i p t > < s c r i p t > . * ( . * ) a l e r t ( d o c u m e n t . c o o k i e ) c o n s o l e . l o g a l e r t ( d o c u m e n t . c o o k i e ) < / s c r i p t > b b b < s c r i p t > c o n s o l e . l o g < s c r i p t > < s c r i p t > a a a ( b b b )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理