搜索

[21314] 2020-10-19_WAF（Web应用防火墙）浅析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-10-19_WAF（Web应用防火墙）浅析 W A F （ W e b 应 用 防 火 墙 ） 浅 析 L e m o n S e c   2 0 2 0 - 1 0 - 1 9 转 发 自 ： 计 算 机 与 网 络 安 全 1 、 关 于 、 关 于 W A F W A F （ W e b   A p p l i c a t i o n   F i r e w a l l ， W e b 应 用 防 火 墙 ） 是 通 过 执 行 一 系 列 针 对 H T T P / H T T P S 的 安 全 策 略 来 专 门 为 W e b 应 用 提 供 保 护 的 一 款 产 品 。 W A F 基 本 上 可 以 分 为 以 下 几 类 。 （ （ 1 ） 软 件 型 ） 软 件 型 W A F 以 软 件 形 式 装 在 所 保 护 的 服 务 器 上 的 W A F ， 由 于 安 装 在 服 务 器 上 ， 所 以 可 以 接 触 到 服 务 器 上 的 文 件 ， 直 接 检 测 服 务 器 上 是 否 存 在 W e b S h e l l 、 是 否 有 文 件 被 创 建 等 。 （ （ 2 ） 硬 件 型 ） 硬 件 型 W A F 以 硬 件 形 式 部 署 在 链 路 中 ， 支 持 多 种 部 署 方 式 ， 当 串 联 到 链 路 中 时 可 以 拦 截 恶 意 流 量 ， 在 旁 路 监 听 模 式 时 只 记 录 攻 击 不 进 行 拦 截 。 （ （ 3 ） 云 ） 云 W A F 一 般 以 反 向 代 理 的 形 式 工 作 ， 通 过 配 置 N S 记 录 或 C N A M E 记 录 ， 使 对 网 站 的 请 求 报 文 优 先 经 过 W A F 主 机 ， 经 过 W A F 主 机 过 滤 后 ， 将 认 为 无 害 的 请 求 报 文 再 发 送 给 实 际 网 站 服 务 器 进 行 请 求 ， 可 以 说 是 带 防 护 功 能 的 C D N 。 （ （ 4 ） 网 站 系 统 内 置 的 ） 网 站 系 统 内 置 的 W A F 网 站 系 统 内 置 的 W A F 也 可 以 说 是 网 站 系 统 中 内 置 的 过 滤 ， 直 接 镶 嵌 在 代 码 中 ， 相 对 来 说 自 由 度 高 ， 一 般 有 以 下 这 几 种 情 况 。 ●   输 入 参 数 强 制 类 型 转 换 （ i n t v a l 等 ） 。 ●   输 入 参 数 合 法 性 检 测 。 ●   关 键 函 数 执 行 （ S Q L 执 行 、 页 面 显 示 、 命 令 执 行 等 ） 前 ， 对 经 过 代 码 流 程 的 输 入 进 行 检 测 。 ●   对 输 入 的 数 据 进 行 替 换 过 滤 后 再 继 续 执 行 代 码 流 程 （ 转 义 / 替 换 掉 特 殊 字 符 等 ） 。 网 站 系 统 内 置 的 W A F 与 业 务 更 加 契 合 ， 在 对 安 全 与 业 务 都 比 较 了 解 的 情 况 下 ， 可 以 更 少 地 收 到 误 报 与 漏 报 。 2 、 、 W A F 判 断 判 断
下 面 介 绍 判 断 网 站 是 否 存 在 W A F 的 几 种 方 法 。 （ （ 1 ） ） S Q L M a p 使 用 S Q L M a p 中 自 带 的 W A F 识 别 模 块 可 以 识 别 出 W A F 的 种 类 ， 但 是 如 果 按 下 面 装 的 W A F 并 没 有 什 么 特 征 ， S Q L M a p 就 只 能 识 别 出 类 型 是 G e n e r i c 。 下 面 以 某 卫 士 官 网 为 例 ， 在 S Q L M a p 中 输 入 以 下 命 令 ， 结 果 如 图 1 所 示 。 s q l m a p . p y   – u   " h t t p : / / x x x . c o m " - - i d e n t i f y - w a f - - b a t c h 图 1     使 用 S Q L M a p 识 别 W A F 可 以 看 到 识 别 出 W A F 的 类 型 为 X X X   W e b   A p p l i c a t i o n   F i r e w a l l 。 要 想 了 解 详 细 的 识 别 规 则 可 以 查 看 S Q L M a p 的 W A F 目 录 下 的 相 关 脚 本 ， 也 可 以 按 照 其 格 式 自 主 添 加 新 的 W A F 识 别 规 则 ， 写 好 规 则 文 件 后 直 接 放 到 W A F 目 录 下 即 可 。 （ （ 2 ） 手 工 判 断 ） 手 工 判 断 这 个 也 比 较 简 单 ， 直 接 在 相 应 网 站 的 U R L 后 面 加 上 最 基 础 的 测 试 语 句 ， 比 如 u n i o n   s e l e c t   1 , 2 , 3 % 2 3 ， 并 且 放 在 一 个 不 存 在 的 参 数 名 中 ， 本 例 里 使 用 的 是 参 数 a a a ， 如 图 2 所 示 ， 触 发 了 W A F 的 防 护 ， 所 以 网 站 存 在 W A F 。
图 2     W A F 拦 截 了 非 法 请 求 因 为 这 里 选 取 了 一 个 不 存 在 的 参 数 ， 所 以 实 际 并 不 会 对 网 站 系 统 的 执 行 流 程 造 成 任 何 影 响 ， 此 时 被 拦 截 则 说 明 存 在 W A F 。 被 拦 截 的 表 现 为 （ 增 加 了 无 影 响 的 测 试 语 句 后 ） ： 页 面 无 法 访 问 、 响 应 码 不 同 、 返 回 与 正 常 请 求 网 页 时 不 同 的 结 果 等 。 3 、 一 些 、 一 些 W A F 的 绕 过 方 法 的 绕 过 方 法 （ （ 1 ） 大 小 写 混 合 ） 大 小 写 混 合 在 规 则 匹 配 时 只 针 对 了 特 定 大 写 或 特 定 小 写 的 情 况 ， 在 实 战 中 可 以 通 过 混 合 大 小 写 的 方 式 进 行 绕 过 （ 现 在 几 乎 没 有 这 样 的 情 况 ） ， 如 下 所 示 。 u N i o n   s E l E c t   1 , 2 , 3 , 4 , 5 （ （ 2 ） ） U R L 编 码 编 码 极 少 部 分 的 W A F 不 会 对 普 通 字 符 进 行 U R L 解 码 ， 如 下 所 示 。 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 上 述 命 令 将 被 编 码 为 如 下 所 示 的 命 令 。 % 7 5 % 6 E % 6 9 % 6 F % 6 E % 2 0 % 7 3 % 6 5 % 6 C % 6 5 % 6 3 % 7 4 % 2 0 % 3 1 % 2 C % 3 2 % 2 C % 3 3 % 2 C % 3 4 % 2 C % 3 5 还 有 一 种 情 况 就 是 U R L 二 次 编 码 ， W A F 一 般 只 进 行 一 次 解 码 ， 而 如 果 目 标 W e b 系 统 的 代 码 中 进 行 了 额 外 的 U R L 解 码 ， 即 可 进 行 绕 过 。 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5
上 述 命 令 将 被 编 码 为 如 下 所 示 的 命 令 。 % 2 5 7 5 % 2 5 6 E % 2 5 6 9 % 2 5 6 F % 2 5 6 E % 2 5 2 0 % 2 5 7 3 % 2 5 6 5 % 2 5 6 C % 2 5 6 5 % 2 5 6 3 % 2 5 7 4 % 2 5 2 0 % 2 5 3 1 % 2 5 2 C % 2 5 3 2 %   2 5 2 C % 2 5 3 3 % 2 5 2 C % 2 5 3 4 % 2 5 2 C % 2 5 3 5 （ （ 3 ） 替 换 关 键 字 ） 替 换 关 键 字 W A F 采 用 替 换 或 者 删 除 s e l e c t / u n i o n 这 类 敏 感 关 键 词 的 时 候 ， 如 果 只 匹 配 一 次 则 很 容 易 进 行 绕 过 。 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 上 述 命 令 将 转 换 为 如 下 所 示 的 命 令 。 u n u i o n i o n   s e l s e l e c t e c t   1 , 2 , 3 , 4 , 5 （ （ 4 ） 使 用 注 释 ） 使 用 注 释 注 释 在 截 断 S Q L 语 句 中 用 得 比 较 多 ， 在 绕 过 W A F 时 主 要 使 用 其 替 代 空 格 （ / * 任 意 内 容 * / ） ， 适 用 于 检 测 过 程 中 没 有 识 别 注 释 或 替 换 掉 了 注 释 的 W A F 。 U n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 上 述 命 令 将 转 换 为 如 下 所 示 的 命 令 。 u n i o n / * 2 3 3 3 * / s e l e c t / * a a a a * / 1 , 2 , 3 , 4 , 5 还 可 以 使 用 内 联 注 释 尝 试 绕 过 W A F 的 检 测 。 （ （ 5 ） 多 参 数 请 求 拆 分 ） 多 参 数 请 求 拆 分 对 于 多 个 参 数 拼 接 到 同 一 条 S Q L 语 句 中 的 情 况 ， 可 以 将 注 入 语 句 分 割 插 入 。 例 如 请 求 U R L 时 ， G E T 参 数 为 如 下 格 式 。 a = [ i n p u t 1 ] & b = [ i n p u t 2 ] 将 G E T 的 参 数 a 和 参 数 b 拼 接 到 S Q L 语 句 中 ， S Q L 语 句 如 下 所 示 。 a n d   a = [ i n p u t 1 ] a n d   b = [ i n p u t 2 ] 这 时 就 可 以 将 注 入 语 句 进 行 拆 分 ， 如 下 所 示 。 a = u n i o n / * & b = * / s e l e c t   1 , 2 , 3 , 4
最 终 将 参 数 a 和 参 数 b 拼 接 ， 得 到 的 S Q L 语 句 如 下 所 示 。 a n d   a = u n i o n   / * a n d   b = * / s e l e c t   1 , 2 , 3 , 4 （ （ 6 ） ） H T T P 参 数 污 染 参 数 污 染 H T T P 参 数 污 染 是 指 当 同 一 参 数 出 现 多 次 ， 不 同 的 中 间 件 会 解 析 为 不 同 的 结 果 ， 具 体 如 表 1 所 示 （ 例 子 以 参 数 c o l o r = r e d & c o l o r = b l u e 为 例 ） 。 表 1     H T T P 参 数 污 染 在 上 述 提 到 的 中 间 线 中 ， I I S 比 较 容 易 利 用 ， 可 以 直 接 分 割 带 逗 号 的 S Q L 语 句 。 在 其 余 的 中 间 线 中 ， 如 果 W A F 只 检 测 了 同 参 数 名 中 的 第 一 个 或 最 后 一 个 ， 并 且 中 间 件 特 性 正 好 取 与 W A F 相 反 的 参 数 ， 则 可 成 功 绕 过 。 下 面 以 I I S 为 例 ， 一 般 的 S Q L 注 入 语 句 如 下 所 示 。 I n j e c t = u n i o n   s e l e c t   1 , 2 , 3 , 4 将 S Q L 注 入 语 句 转 换 为 以 下 格 式 。 I n j e c t = u n i o n / * & i n j e c t = * / s e l e c t / * & i n j e c t = * / 1 & i n j e c t = 2 & i n j e c t = 3 & i n j e c t = 4 最 终 在 I I S 中 读 入 的 参 数 值 将 如 下 所 示 。 I n j e c t = u n i o n / * , * / s e l e c t / * , * / 1 , 2 , 3 , 4 （ （ 7 ） 生 僻 函 数 ） 生 僻 函 数 使 用 生 僻 函 数 替 代 常 见 的 函 数 ， 例 如 在 报 错 注 入 中 使 用 p o l y g o n （ ） 函 数 替 换 常 用 的 u p d a t e x m l （ ） 函 数 ， 如 下 所 示 。 S E L E C T   p o l y g o n （ （ s e l e c t * f r o m （ s e l e c t * f r o m （ s e l e c t @ @ v e r s i o n ） f ） x ） ） ; （ （ 8 ） 寻 找 网 站 源 站 ） 寻 找 网 站 源 站 I P 对 于 具 有 云 W A F 防 护 的 网 站 而 言 ， 只 要 找 到 网 站 的 I P 地 址 ， 然 后 通 过 I P 访 问 网 站 ， 就 可 以 绕 过 云 W A F 的 检 测 。
常 见 的 寻 找 网 站 I P 的 方 法 有 下 面 这 几 种 。 ●   寻 找 网 站 的 历 史 解 析 记 录 。 ●   多 个 不 同 区 域 p i n g 网 站 ， 查 看 I P 解 析 的 结 果 。 ●   找 网 站 的 二 级 域 名 、 N S 、 M X 记 录 等 对 应 的 I P 。 ●   订 阅 网 站 邮 件 ， 查 看 邮 件 发 送 方 的 I P 。 （ （ 9 ） 注 入 参 数 到 ） 注 入 参 数 到 c o o k i e s 中 中 某 些 程 序 员 在 代 码 中 使 用 $ _ R E Q U E S T 获 取 参 数 ， 而 $ _ R E Q U E S T 会 依 次 从 G E T / P O S T / c o o k i e 中 获 取 参 数 ， 如 果 W A F 只 检 测 了 G E T / P O S T 而 没 有 检 测 c o o k i e ， 可 以 将 注 入 语 句 放 入 c o o k i e 中 进 行 绕 过 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理