搜索

[18164] 2020-10-16_渗透测试之浅析WAF绕过

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-16_渗透测试之浅析WAF绕过 渗 透 测 试 之 浅 析 W A F 绕 过 T r u e B W   H A C K 之 道   2 0 2 0 - 1 0 - 1 6 原 创 作 者 ： 原 创 作 者 ： T r u e B W ， ， 作 者 博 客 ： 作 者 博 客 ： h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 3 9 1 9 0 8 9 7 前 言 前 言 W A F   是 什 么 ？ 全 称   W e b   A p p l i c a t i o n   F i r e w a l l   ( W E B   应 用 防 护 系 统 应 用 防 护 系 统 ) ， 与 传 统 的   F i r e w a l l   ( 防 火 墙 )   不 同 ， W A F   针 对 的 是 应 用 层 。 W A F 是 通 过 执 行 一 系 列 针 对 H T T P / H T T P S 的 安 全 策 略 来 专 门 为 W e b 应 用 提 供 保 护 的 一 种 网 络 安 全 产 品 。 W A F 可 以 增 大 攻 击 者 的 攻 击 难 度 和 攻 击 成 本 ， 但 是 不 是 1 0 0 % 安 全 的 。 目 前 市 场 上 的 W A F 主 要 有 以 下 几 类 ： 1 .   基 于 硬 件 W A F ： 绿 盟 W A F ； 2 .   基 于 软 件 W A F ： 以 安 全 狗 为 代 表 ； 3 .   部 署 在 云 端 的 W A F ： 百 度 加 速 乐 、 安 全 宝 等 。 我 们 谈 绕 过 W A F ， 其 实 就 是 谈 如 何 绕 过 过 滤 机 制 。 W A F 绕 过 绕 过 绕 过 W A F 的 技 术 可 分 为 以 下 几 类 ： 1 .   大 小 写 混 合 2 .   替 换 关 键 字
3 .   使 用 编 码 4 .   使 用 注 释 5 .   参 数 污 染 6 .   缓 冲 区 溢 出 7 .   性 能 因 素 8 .   整 合 绕 过 本 文 接 下 来 对 这 几 类 方 法 进 行 介 绍 。 大 小 写 绕 过 大 小 写 绕 过 大 小 写 绕 过 用 于 只 针 对 小 写 或 大 写 的 关 键 字 匹 配 技 术 ， 正 则 表 达 式 / e x p r e s s / i   大 小 写 不 敏 感 即 无 法 绕 过 ， 这 是 最 简 单 的 绕 过 技 术 。 1 这 个 大 家 都 很 熟 悉 ， 对 于 一 些 太 垃 圾 的 W A F 效 果 显 著 ， 比 如 拦 截 了 u n i o n ， 那 就 使 用 U n i o n 、 U n I o N 等 等 绕 过 。 替 换 关 键 字 替 换 关 键 字 1 、 关 键 字 双 写 、 关 键 字 双 写 这 种 情 况 下 大 小 写 转 化 无 法 绕 过 ， 正 则 表 达 式 会 替 换 或 删 除 s e l e c t 、 u n i o n 这 些 关 键 字 ， 如 果 只 匹 配 一 次 就 很 容 易 绕 过 。 1 有 些 时 候 甚 至 构 造 得 更 复 杂 ： S e L S e s e l e c t l e C T e c T ， 不 过 不 建 议 对 此 抱 太 大 期 望 。 2 、 同 价 词 替 换 、 同 价 词 替 换 a n d 和 o r 有 可 能 不 能 使 用 ， 或 者 可 以 试 下 和 能 不 能 用 ； = 不 能 使 用 的 情 况 ， 可 以 考 虑 尝 试 z . c o m / i n d e x . p h p ? p a g e _ i d = - 1 5   u N I o N   s E L e c T   1 , 2 , 3 , 4   z . c o m / i n d e x . p h p ? p a g e _ i d = - 1 5   U N I u n i o n O N   S E L s e l e c t E C T   1 , 2 , 3 , 4 & & | |
， 因 为 如 果 不 小 于 又 不 大 于 ， 那 就 是 等 于 了 ； 空 格 不 能 使 用 （ 常 见 ） ， 可 以 使 用 如 下 符 号 进 行 替 换 ： 。 【 注 释 】   在 m y s q l 中 是 换 行 ， 可 以 代 替 空 格 ， 这 个 方 法 也 可 以 部 分 绕 过 最 新 版 本 的 安 全 狗 。 而 在 s q l s e r v e r 中 可 以 用 来 代 替 空 格 。 3 、 特 殊 字 符 拼 接 、 特 殊 字 符 拼 接 把 特 殊 字 符 拼 接 起 来 绕 过 W A F 的 检 测 ， 比 如 在 M y s q l 中 ， 可 以 利 用 注 释 来 绕 过 ， 在 m s s q l 中 ， 函 数 里 面 可 以 用 来 拼 接 。 使 用 编 码 使 用 编 码 1 、 、 U R L 编 码 编 码 在 C h r o m e 中 输 入 一 个 连 接 ， 非 保 留 字 的 字 符 浏 览 器 会 对 其 U R L 编 码 ， 如 空 格 变 为 、 单 引 号 、 左 括 号 、 右 括 号 等 。 普 通 的 U R L 编 码 可 能 无 法 实 现 绕 过 ， 还 存 在 一 种 情 况 U R L 编 码 只 进 行 了 一 次 过 滤 ， 可 以 用 两 次 编 码 绕 过 ： < 、 > % 2 0   % 0 9   % 0 a   % 0 b   % 0 c   % 0 d   % a 0   / * * / % 0 a / * * / / * * / + % 2 0 % 2 7 % 2 8 % 2 9
1 2 3 2 、 十 六 进 制 编 码 、 十 六 进 制 编 码 1 2 示 例 代 码 中 ， 前 者 是 对 单 个 字 符 十 六 进 制 编 码 ， 后 者 则 是 对 整 个 字 符 串 编 码 ， 使 用 上 来 说 较 少 见 一 点 。 3 、 、 U n i c o d e 编 码 编 码 看 一 下 常 用 的 几 个 符 号 的 一 些 U n i c o d e 编 码 ： 单 引 号 :   % u 0 0 2 7 空 格 ： % u 0 0 2 0 左 括 号 ： % u 0 0 2 8 右 括 号 ： % u 0 0 2 9 常 见 的 编 码 当 然 还 有 二 进 制 、 八 进 制 ， 它 们 不 一 定 都 派 得 上 用 场 ， 但 后 面 会 提 到 使 用 二 进 制 的 例 子 。 使 用 注 释 使 用 注 释 看 一 下 常 见 的 用 于 注 释 的 符 号 有 哪 些 ： 1 、 普 通 注 释 、 普 通 注 释 1 p a g e . p h p ? i d = ? i d = 1 / * * / U N I O N / * * / S E L E C T 经 过 两 次 解 码 : p a g e . p h p ? i d = 1 % 2 5 2 f % 2 5 2 a * / U N I O N % 2 5 2 f % 2 5 2 a * / S E L E C T   z . c o m / i n d e x . p h p ? p a g e _ i d = - 1 5 / * ! u % 6 e i o n * /   / * ! s e % 6 c e c t * /   1 , 2 , 3 , 4 …   S E L E C T ( e x t r a c t v a l u e ( 0 x 3 C 6 1 3 E 6 1 6 4 6 D 6 9 6 E 3 C 2 F 6 1 3 E , 0 x 2 f 6 1 ) ) / / ,   - -   ,   / * * / ,   # ,   - - + , - -   - ,   ; ， - - a z . c o m / i n d e x . p h p ? p a g e _ i d = - 1 5   % 5 5 n I O N / * * / % 5 3 E l e c T   1 , 2 , 3 , 4 　 　 　 ' u n i o n % a 0 s e l e c t   p a s s   f r o m   u s e r s #
2 在 构 造 得 查 询 语 句 中 插 入 注 释 ， 规 避 对 空 格 的 依 赖 或 关 键 字 识 别 。 用 于 终 结 语 句 的 查 询 。 2 、 内 联 注 释 、 内 联 注 释 相 比 普 通 注 释 ， 内 联 注 释 用 的 更 多 ， 它 有 一 个 特 性 只 有 M y S Q L 能 识 别 ( 表 示 注 释 里 面 的 语 句 会 被 执 行 ) 。 1 2 两 个 示 例 中 前 者 使 用 内 联 注 释 ， 后 者 还 用 到 了 普 通 注 释 。 使 用 注 释 一 个 很 有 用 的 做 法 便 是 对 关 键 字 的 拆 分 ， 要 做 到 这 一 点 后 面 讨 论 的 特 殊 符 号 也 能 实 现 ， 当 然 前 提 是 包 括 在 内 的 这 些 字 符 能 正 常 使 用 。 参 数 污 染 参 数 污 染 H P P ( H T T P   P a r a m e t e r   P o l u t i o n ) 又 称 做 重 复 参 数 污 染 ， 最 简 单 的 就 是 ， 对 于 这 种 情 况 ， 不 同 的 W e b 服 务 器 处 理 方 式 。 示 例 代 码 ： / * * / # 、 - - + / ! * * / / * ！ * / i n d e x . p h p ? p a g e _ i d = - 1 5   / * ! U N I O N * /   / * ! S E L E C T * /   1 , 2 , 3 ? p a g e _ i d = n u l l % 0 A / * * / / * ! 5 0 0 0 0 % 5 5 n I O n * / / * y o y u * / a l l / * * / % 0 A / * ! % 5 3 e L E c t * / % 0 A / * n n a a * / + / 、 * ? u i d = 1 & u i d = 2 & u i d = 3
1 2 3 具 体 W A F 如 何 处 理 ， 要 看 其 设 置 的 规 则 ， 不 过 就 示 例 中 最 后 一 个 来 看 有 较 大 可 能 绕 过 。 缓 冲 区 溢 出 缓 冲 区 溢 出 缓 冲 区 溢 出 用 于 对 付 W A F ， 有 不 少 W A F 是 C 语 言 写 的 ， 而 C 语 言 自 身 没 有 缓 冲 区 保 护 机 制 ， 因 此 如 果 W A F 在 处 理 测 试 向 量 时 超 出 了 其 缓 冲 区 长 度 ， 就 会 引 发 b u g 从 而 实 现 绕 过 。 举 个 例 子 ： 1 示 例 指 0 x A 后 面 ” A " 重 复 1 0 0 0 次 ， 一 般 来 说 对 应 用 软 件 构 成 缓 冲 区 溢 出 都 需 要 较 大 的 测 试 长 度 ， 这 里 1 0 0 0 只 做 参 考 ， 在 某 些 情 况 下 可 能 不 需 要 这 么 长 也 能 溢 出 。 性 能 因 素 性 能 因 素 1 .   W A F 在 设 计 的 时 候 都 会 考 虑 到 性 能 问 题 ， 检 测 数 据 包 的 包 长 或 检 测 数 据 流 长 度 ， 有 一 个 限 制 。 因 此 在 设 计 W A F 的 时 候 可 能 就 有 一 个 默 认 值 ， 默 认 多 少 个 字 节 的 流 大 小 ， 或 是 多 少 个 数 据 包 。 此 时 可 以 向 H T T P   P O S T 添 加 填 充 数 据 ， 达 到 一 定 数 目 之 后 ， P O S T 中 的 s q l 注 入 恶 意 代 码 没 有 被 检 测 了 ， 达 到 了 b y p a s s 的 目 的 。 2 .   W A F 的 业 务 影 响 问 题 ， 一 些 传 统 硬 件 防 护 设 备 为 了 避 免 在 高 负 载 的 时 候 影 响 用 户 体 验 ， 如 延 时 等 问 题 ， 会 在 高 负 载 的 时 候 关 掉 W A F 防 护 功 能 ， 在 低 负 载 的 时 候 又 开 启 W A F 功 能 。 此 方 法 ， 主 要 针 对 软 件 W A F — — 可 将 一 个 p a y l o a d ， 使 用 脚 本 并 发 发 送 多 次 ， 发 现 有 些 通 过 了 W A F ， 有 些 被 W A F 拦 截 了 整 合 绕 过 整 合 绕 过 整 合 的 意 思 是 结 合 使 用 前 面 谈 到 的 各 种 绕 过 技 术 ， 单 一 的 技 术 可 能 无 法 绕 过 过 滤 机 制 ， 但 是 多 种 技 术 的 配 合 使 用 成 功 的 可 能 性 就 会 增 加 不 少 了 。 / ? i d = 1 ; s e l e c t + 1 , 2 , 3 + f r o m + u s e r s + w h e r e + i d = 1 — / ? i d = 1 ; s e l e c t + 1 & i d = 2 , 3 + f r o m + u s e r s + w h e r e + i d = 1 — / ? i d = 1 / * * / u n i o n / * & i d = * / s e l e c t / * & i d = * / p w d / * & i d = * / f r o m / * & i d = * / u s e r s ? i d = 1   a n d   ( s e l e c t   1 ) = ( S e l e c t   0 x A * 1 0 0 0 ) + U n I o N + S e L e C T + 1 , 2 , v e r s i o n ( ) , 4 , 5 , d a t a b a s e 0 x A * 1 0 0 0
举 个 例 子 ： 1 2 3 分 块 传 输 分 块 传 输 本 次 实 验 采 用 的 是 w i n 1 0 下 面 的 p h p s t u d y + 安 全 狗 。 安 全 狗 开 启 h t t p 安 全 监 测 ， 可 以 看 到 会 过 滤 a n d   o r 等 关 键 词 ： 在 根 目 录 ， 写 一 个 最 简 单 的 p h p 页 面 如 下 ： i d = 1 / * ! U n I o N * / + S e L e C T + 1 , 2 , c o n c a t ( / * ! t a b l e _ n a m e * / ) + F r O M   / * ! i n f o r m a t i o n _ s c h e m a * / ? i d = - 7 2 5 + / * ! U N I O N * / + / * ! S E L E C T * / + 1 , G r O U p _ C O n C a T ( C O L U M N _ N A M E ) , 3 , 4 , 5 + F R O M + / * ! I N F O R M A T I O N _ S C H E M i n d e x . p h p ? p a g e _ i d = - 1 5 + a n d + ( s e l e c t   1 ) = ( S e l e c t   0 x A A [ . . ( a d d   a b o u t   1 0 0 0   " A " ) . . ] ) + / *
1 2 3 4 5 6 7 8 9 1 0 采 用 既 可 以 接 收 p o s t 参 数 也 可 以 接 收 g e t 参 数 ， 我 们 来 试 试 安 全 狗 有 没 有 用 ， 尝 试 加 关 键 字 a n d ： 可 以 看 到 ， 请 求 中 含 有 S Q L 注 入 关 键 字 的 都 会 被 拦 截 。 分 块 编 码 分 块 编 码 < ? p h p h e a d e r ( " C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = u t f - 8 " ) ; $ i d   =   $ _ R E Q U E S T [ " i d " ] ; i f   ( $ i d ) {         e c h o   " 接 收 到 的 i d 为 "   .   $ i d ;         } e l s e {         e c h o   " N o   i d " ; } ? > $ _ R E Q U E S T
在 通 过 h t t p 传 输 文 件 的 时 候 ， 通 常 会 有 一 个 C o n t e n t - L e n g t h 用 来 指 定 文 件 的 长 度 ， 比 如 传 输 图 片 ， 静 态 页 面 ， 客 户 端 也 以 C o n t e n t - L e n g t h 作 为 接 收 内 容 结 束 的 标 志 ， 接 收 完 毕 后 就 可 以 断 开 连 接 了 。 但 是 有 时 候 发 送 方 并 不 能 确 定 内 容 的 长 度 ， 造 成 的 影 响 就 是 ： 接 收 方 无 法 通 过 C o n t e n t - L e n g t h 得 到 报 文 体 的 长 度 ， 也 就 无 法 得 知 什 么 时 候 应 该 中 断 连 接 。 为 此 我 们 需 要 一 个 新 的 机 制 ： 不 依 赖 头 部 的 长 度 信 息 ， 也 能 知 道 实 体 的 边 界 。 H T T P   1 . 1 引 入 了 分 块 传 输 编 码 的 方 式 。 只 要 在 h e a d e r 头 部 加 入     ， 就 代 表 这 个 报 文 采 用 了 分 块 编 码 。 此 时 不 用 指 定 C o n t e n t - L e n g t h 接 收 方 也 可 以 知 道 什 么 时 候 传 输 结 束 了 ， 只 需 要 约 定 一 个 信 号 即 可 ， 比 如 ， 接 收 方 只 要 接 收 到 一 个 长 度 为 0 内 容 为 0 的 分 块 ， 则 代 表 传 输 完 毕 。 那 么 怎 么 样 将 一 个 普 通 的 报 文 改 编 成 分 块 传 输 形 式 的 呢 ? 报 文 中 的 实 体 需 要 改 为 用 一 系 列 分 块 来 传 输 。 每 个 分 块 包 含 十 六 进 制 的 长 度 值 和 数 据 ， 长 度 值 独 占 一 行 ， 长 度 不 包 括 它 结 尾 的 C R L F （ r n ） ， 也 不 包 括 分 块 数 据 结 尾 的   C R L F 。 最 后 一 个 分 块 长 度 值 必 须 为   0 ， 对 应 的 分 块 数 据 没 有 内 容 （ 两 个 空 行 ） ， 表 示 实 体 结 束 。 下 面 用 一 个 最 简 单 的 例 子 ， 向 本 地 p o s t 一 个 数 据 包 ， 为 i d = 1 2 3 4 5 5 ： 可 以 实 验 一 下 ， 如 果 关 闭 b u r p 在 r e p e a t e r 选 项 里 面 自 带 的 c o n t e n t - l e n g t h 补 全 功 能 ， 然 后 去 掉 C o n t e n t - L e n g t h ， 就 无 法 接 收 到 i d 。 T r a n s f e r - E n c o d i n g :   c h u n k e d
接 下 来 我 们 将 其 改 为 分 块 传 输 的 方 式 ： 通 过 上 图 可 以 看 到 ， 即 使 没 有 C o n t e n t - L e n g t h ， 我 们 也 可 以 采 用 分 块 传 输 的 方 式 ， 分 多 少 块 ， 每 块 多 大 都 不 是 唯 一 的 ， 但 是 最 后 的 结 尾 需 要 一 个 长 度 为 0 内 容 为 空 的 块 ( 内 容 为 两 个 空 行 ) 。 W A F 绕 过 绕 过 当 我 们 将 传 输 的 内 容 分 块 时 ， 处 理 后 的 H T T P 请 求 由 于 和 已 知 的 p a y l o a d 相 差 较 大 ， 所 以 可 以 起 到 一 定 的 绕 过 W A F 的 效 果 。 比 如 我 们 来 试 试 安 全 狗 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理