搜索

[20832] 2017-07-28_浅谈绕过waf的数种方法

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-07-28_浅谈绕过waf的数种方法 浅 谈 绕 过 w a f 的 数 种 方 法 L e m o n S e c   2 0 1 7 - 0 7 - 2 8 0 x 0 0   前 言 前 言 0 8 年 初 诞 生 了 一 种 S Q L 群 注 攻 击 ， 黑 客 在 全 球 范 围 内 对 a s p ， a s p . n e t 加 M S S Q L 架 构 的 网 站 进 行 了 疯 狂 扫 荡 。 由 于 M S S Q L 支 持 多 语 句 注 入 ， 黑 客 通 过 一 条 结 合 游 标 的 S Q L 语 句 就 能 将 整 个 数 据 库 的 字 段 内 容 自 动 进 行 篡 改 ， 可 以 在 网 站 上 无 差 别 的 进 行 网 页 木 马 攻 击 。 互 联 网 是 快 速 更 新 迭 代 的 ， 但 是 很 多 没 有 开 发 能 力 的 单 位 都 是 通 过 外 包 建 立 网 站 ， 网 站 的 程 序 一 上 线 就 再 也 无 人 维 护 ， 很 多 程 序 存 在 各 种 漏 洞 无 法 修 补 ， 于 是 W A F 便 有 了 市 场 ， 现 今 门 槛 低 且 最 能 解 决 问 题 的 是 针 对 I I S / a p a c h e 的 软 件 W A F ， 通 常 一 个 模 块 一 个 扩 展 就 能 搞 定 ， 当 然 也 有 耗 资 百 万 千 万 的 硬 件 W A F ， 然 而 如 果 W A F 拦 截 规 则 出 现 漏 洞 ， 这 百 万 千 万 的 硬 件 也 就 是 一 堆 废 铁 。 那 么 W A F 是 否 真 的 可 以 解 决 所 有 的 W E B 安 全 问 题 呢 ？ 所 以 本 文 主 要 解 析 一 些 可 以 绕 过 W A F 的 罕 见 漏 洞 ， 供 安 全 人 员 参 考 。 0 x 0 1   R e q u e s t 对 象 的 包 解 析 漏 洞 . a s p 和 a s p . n e t 的 R e q u e s t 对 象 存 在 一 个 包 解 析 漏 洞 ， R e q u e s t 对 象 对 于 G E T 和 P O S T 包 的 解 析 过 于 宽 松 ， 用 一 句 话 表 达 就 是 R e q u e s t 对 象 它 G E T 和 P O S T 傻 傻 分 不 清 楚 ， 稍 有 点 w e b 开 发 经 验 的 同 学 应 该 知 道 R e q u e s t 接 收 G E T , P O S T , C O O K I E 也 就 是 G P C 传 过 来 的 数 据 ， 但 是 a s p 和 . n e t 库 内 置 的 R e q u e s t 对 象 完 全 不 按 R F C 标 准 来 ， 下 面 我 们 可 以 做 个 测 试 ： 分 别 将 下 面 两 段 代 码 保 存 为 1 . a s p 和 1 . a s p x 使 用 a s p 的 R e q u e s t 对 象 接 收 t 参 数 传 值 使 用 a s p . n e t 的 R e q u e s t 对 象 接 收 t 参 数 传 值 使 用 下 面 的 p y t h o n 脚 本 调 用 s o c k e t 发 送 原 始 的 H T T P 包 1 < % 2 R e s p o n s e . W r i t e " R e q u e s t : " &   R e q u e s t ( " t " ) 3 % > 1 < % @   P a g e   L a n g u a g e = " C # " % > 2 < % 3 s t r i n g   t e s t   =   R e q u e s t [ " t " ] ; 4 R e s p o n s e . W r i t e ( " R e q u e s t : " + t e s t ) ; 5 % >
我 们 发 送 的 原 始 包 是 ： 结 果 返 回 如 下 ： R e q u e s t : ' / * * / o r / * * / 1 = 1 – 将 p y t h o n 测 试 脚 本 的 p a t h 改 为 / 1 . a s p x 测 试 页 返 回 同 样 结 果 。 我 们 可 以 看 到 这 是 一 个 畸 形 的 H T T P   G E T 请 求 包 ， 这 个 包 的 奥 秘 在 于 C o n t e n t - T y p e 和 C o n t e n t - L e n g t h 头 ， 包 的 结 构 类 似 于 一 个 P O S T 包 ， 而 请 求 的 方 法 是 G E T , 最 后 a s p 和 a s p . n e t 的 R e q u e s t 对 象 成 功 的 解 析 了 这 个 畸 形 包 取 出 了 数 据 。 所 以 如 果 W A F 没 有 处 理 好 H T T P 包 的 内 容 ， 沿 用 常 规 思 路 处 理 G E T 和 P O S T 的 逻 辑 的 话 ， 那 么 这 个 畸 形 包 将 会 毁 掉 W A F 的 基 础 防 御 。 0 x 0 2   被 遗 忘 的 复 参 攻 击 . 大 家 应 该 还 记 得 0 9 年 的 H T T P   P a r a m e t e r   P o l l u t i o n 攻 击 ， 查 看 [ 3 ] 文 档 ， 可 以 发 现 A S P / I I S 和 A S P . N E T / I I S 的 场 景 下 存 在 一 个 复 参 特 性 ， 本 文 将 利 用 这 种 的 特 性 的 攻 击 简 称 为 复 参 攻 击 ， 用 0 X 0 1 里 的 例 子 简 单 的 测 试 一 下 : 用 G E T 请 求 传 入 两 个 t 参 数 G E T   h t t p : / / 1 9 2 . 1 6 8 . 2 3 9 . 1 2 9 / 1 . a s p ? t = 1 & t = 2 将 返 回 R e q u e s t : 1 ,   2 a s p 和 a s p . n e t 的 R e q u e s t 对 象 接 收 了 两 个 参 数 ， 并 且 以 逗 号 分 隔 ， 所 以 便 衍 生 出 了 [ 3 ] 文 档 中 的 复 参 S Q L 注 入 方 法 ： V u l n e r a b l e   c o d e ： 我 们 可 以 看 到 通 过 巧 妙 的 运 用 注 释 符 结 合 复 参 特 性 可 以 分 割 G E T 参 数 中 的 S Q L 注 入 语 句 ， 如 果 W A F 对 G E T 参 数 的 处 理 过 于 简 单 是 不 是 会 匹 配 不 到 拦 截 规 则 呢 ? 0 x 0 3   高 级 复 参 攻 击 .
A S P . N E T 的 R e q u e s t 对 象 有 一 个 P a r a m s 属 性 ， A S P . N E T 程 序 员 在 一 些 程 序 中 会 使 用 R e q u e s t . P a r a m s [ " x x x " ] 传 入 数 据 ， 参 考 [ 4 ] 微 软 M S D N 文 档 我 们 可 以 知 道 P a r a m s 属 性 的 特 性 ， 该 属 性 接 收 G E T , P O S T 和 C o o k i e 的 传 值 集 合 ， 这 里 我 们 可 以 修 改 0 x 0 1 里 的 例 子 测 试 一 下 ： 使 用 a s p . n e t 的 R e q u e s t . P a r a m s 方 法 接 收 t 参 数 传 值 E T 参 数 中 的 S Q L 注 入 语 句 ， 如 果 W A F 对 G E T 参 数 的 处 理 过 于 简 单 是 不 是 会 匹 配 不 到 拦 截 规 则 呢 ? 0 x 0 3   高 级 复 参 攻 击 . A S P . N E T 的 R e q u e s t 对 象 有 一 个 P a r a m s 属 性 ， A S P . N E T 程 序 员 在 一 些 程 序 中 会 使 用 R e q u e s t . P a r a m s [ " x x x " ] 传 入 数 据 ， 参 考 [ 4 ] 微 软 M S D N 文 档 我 们 可 以 知 道 P a r a m s 属 性 的 特 性 ， 该 属 性 接 收 G E T , P O S T 和 C o o k i e 的 传 值 集 合 ， 这 里 我 们 可 以 修 改 0 x 0 1 里 的 例 子 测 试 一 下 ： 使 用 a s p . n e t 的 R e q u e s t . P a r a m s 方 法 接 收 t 参 数 传 值 发 送 一 个 P O S T 包 ， G E T , P O S T , C O O K I E 三 个 方 法 中 都 带 有 不 同 的 t 参 数 内 容 结 果 返 回 R e q u e s t : 1 , 3 , 2 最 后 得 出 结 论 ， R e q u e s t . P a r a m s 方 法 接 收 的 数 据 是 按 照 G P C 顺 序 整 合 ， 看 到 这 里 的 同 学 再 联 想 到 0 x 0 2 的 复 参 攻 击 应 该 如 醍 醐 灌 顶 了 ， 我 们 可 以 将 S Q L 攻 击 语 句 拆 分 到 G E T , P O S T , C O O K I E 三 个 变 量 里 进 行 组 合 攻 击 。 想 一 想 W A F 针 对 这 种 高 级 复 参 攻 击 是 否 防 御 好 了 ？ 0 x 0 4   后 话 W A F 是 不 可 能 解 决 所 有 安 全 问 题 的 ， 本 文 的 思 路 归 其 本 源 实 际 上 是 描 叙 了 W A F 处 理 H T T P 包 与 服 务 端 处 理 H T T P 包 数 种 差 异 。 互 联 网 是 不 断 更 新 迭 代 的 ， 差 异 存 在 ， 类 似 的 漏 洞 也 会 存 在 。 本 文 提 到 了 三 种 绕 过 W A F 的 思 路 ， 第 一 种 是 我 的 原 创 属 于 0 D A Y 状 态 ， 第 二 种 是 参 考 已 有 的 复 参 攻 击 ， 其 中 第 三 种 高 级 复 参 攻 击 是 由 S a f e 3 同 学 提 出 的 ， 本 文 也 是 与 S a f e 3 同 学 讨 论 他 开 发 的 W A F 的 B U G 而 来 ， 所 以 感 谢 S a f e 3 同 学 。 另 外 请 大 家 不 要 将 本 文 的 内 容 用 于 非 法 途 径 ， 仅 供 安 全 人 员 参 考 ， 谢 谢 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理