搜索

[8520] 2014-12-23_技术分享：杂谈如何绕过WAF（Web应用防火墙）

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-17
2014-12-23_技术分享：杂谈如何绕过WAF（Web应用防火墙） 技 术 分 享 ： 杂 谈 如 何 绕 过 W A F （ W e b 应 用 防 火 墙 ） F r e e B u f   2 0 1 4 - 1 2 - 2 3 0 x 0 1 开 场 白 开 场 白 这 个 议 题 呢 ， 主 要 是 教 大 家 一 个 思 路 ， 而 不 是 把 现 成 准 备 好 的 代 码 放 给 大 家 。 可 能 在 大 家 眼 中 可 能 在 大 家 眼 中 W A F （ （ W e b 应 用 防 火 墙 ） 就 是 应 用 防 火 墙 ） 就 是 “ 不 要 脸 不 要 脸 ” 的 代 名 词 。 如 果 没 有 他 ， 我 们 的 的 代 名 词 。 如 果 没 有 他 ， 我 们 的 “ 世 界 世 界 ” 可 能 会 更 加 美 好 。 但 是 事 与 愿 违 。 没 有 它 ， 你 让 各 大 网 站 怎 么 活 。 但 是 呢 ， 我 是 站 在 你 们 的 这 可 能 会 更 加 美 好 。 但 是 事 与 愿 违 。 没 有 它 ， 你 让 各 大 网 站 怎 么 活 。 但 是 呢 ， 我 是 站 在 你 们 的 这 一 边 的 ， 所 以 ， 今 天 我 们 就 来 谈 谈 如 何 绕 过 一 边 的 ， 所 以 ， 今 天 我 们 就 来 谈 谈 如 何 绕 过 W A F 吧 。 之 所 以 叫 做 吧 。 之 所 以 叫 做 “ 杂 谈 杂 谈 ” ， 是 因 为 我 在 本 次 演 讲 里 ， 会 涉 及 到 ， 是 因 为 我 在 本 次 演 讲 里 ， 会 涉 及 到 w e b k i t 、 、 n g i n x & a p a c h e 等 。 下 面 正 式 开 始 ： ） 等 。 下 面 正 式 开 始 ： ） 0 x 0 2 直 视 直 视 W A F ： ： 作 为 第 一 节 ， 我 先 为 大 家 简 单 的 说 下 一 些 绕 过 W A F 的 方 法 。 一 ： 大 小 写 转 换 法 ： 一 ： 大 小 写 转 换 法 ： 看 字 面 就 知 道 是 什 么 意 思 了 ， 就 是 把 大 写 的 小 写 ， 小 写 的 大 写 。 比 如 : S Q L ： s E l e C t   v E R s I o N ( ) ; X S S ： < s C r I p t > a l e r t ( 1 ) < / s c r i p t > 出 现 原 因 ： 在 w a f 里 ， 使 用 的 正 则 不 完 善 或 者 是 没 有 用 大 小 写 转 换 函 数 二 ： 干 扰 字 符 污 染 法 ： 二 ： 干 扰 字 符 污 染 法 ： 空 字 符 、 空 格 、 T A B 换 行 、 注 释 、 特 殊 的 函 数 等 等 都 可 以 。 比 如 下 面 的 ： S Q L ： s E l e C t + 1 - 1 + v E R s I o N       / * ! * /               ( ) ; ` y o h e h e S Q L 2 ： s e l e c t / * ! * / ` v e r s i o n ` ( ) ; X S S ： 下 面 一 节 会 仔 细 的 介 绍 出 现 原 因 ： 利 用 网 站 使 用 的 语 言 函 数 特 性 来 绕 过 w a f 的 规 则 或 者 使 用 会 无 视 的 字 符 三 ： 字 符 编 码 法 ： 三 ： 字 符 编 码 法 ： 就 是 对 一 些 字 符 进 行 编 码 ， 常 见 的 S Q L 编 码 有 u n i c o d e 、 H E X 、 U R L 、 a s c l l 、 b a s e 6 4 等 ， X S S 编 码 有 ： H T M L 、 U R L 、 A S C L L 、 J S 编 码 、 b a s e 6 4 等 等 S Q L : l o a d _ f i l e ( 0 x 6 3 3 A 2 F 7 7 6 9 6 E 6 4 6 F 7 7 7 3 2 F 6 D 7 9 2 E 6 9 6 E 6 9 ) X S S ： < s c r i p t % 2 0 s r c % 3 D " h t t p % 3 A % 2 F % 2 F 0 3 0 0 . 0 2 5 0 . 0 0 0 0 . 0 0 0 1 " > < % 2 F s c r i p t > 出 现 原 因 ： 利 用 浏 览 器 上 的 进 制 转 换 或 者 语 言 编 码 规 则 来 绕 过 w a f 四 ： 拼 凑 法 ： 四 ： 拼 凑 法 ： 如 果 过 滤 了 某 些 字 符 串 ， 我 们 可 以 在 他 们 两 边 加 上 “ 原 有 字 符 串 ” 的 一 部 分 。 S Q L ： s e l s e l e c t e c t   v e r v e r s i o n s i o n ( ) ; X S S ： < s c r < s c r i p t > r i p > a l a l e r t e r t < / s c r < / s c r i p t > r i p > 出 现 原 因 ： 利 用 w a f 的 不 完 整 性 ， 只 验 证 一 次 字 符 串 或 者 过 滤 的 字 符 串 并 不 完 整 。 本 节 是 告 诉 大 家 ， w a f 总 会 有 自 己 缺 陷 的 ， 任 何 事 物 都 不 可 能 完 美 。 0 x 0 3 站 在 站 在 w e b k i t 角 度 来 说 绕 过 角 度 来 说 绕 过 W A F ： ： 可 能 这 时 会 有 人 问 到 ， 说 绕 过 W A F ， 怎 么 跑 到 w e b k i t 上 去 了 。 嗯 ， 你 没 有 看 错 ， 我 也 没 有 疯 。 之 说 以 站 在 w e b k i t 角 度 来 讲 绕 过 W A F ， 是 因 为 各 个 代 码 的 功 能 是 由 浏 览 器 来 解 析 的 。 那 浏 览 器 中 谁 又 负 责 解 析 呢 ？ 那 就 是 w e b k i t ，   既 然 要 说 到 既 然 要 说 到 w e b k i t ， 那 就 不 得 不 提 ， 那 就 不 得 不 提 w e b k i t 下 的 解 析 器 下 的 解 析 器 — — 词 法 分 析 器 ， 因 为 我 们 在 绕 过 的 时 候 ， 就 是 利 用 解 析 器 中 的 词 法 分 析 器 来 完 成 。 词 法 分 析 器 ， 因 为 我 们 在 绕 过 的 时 候 ， 就 是 利 用 解 析 器 中 的 词 法 分 析 器 来 完 成 。 就 比 如 一 个 简 单 的 绕 过 W A F 的 X S S 代 码 ： < i f r a m e   s r c = " j a v a s c r i p t : a l e r t ( 1 ) "   h e i g h t = 0   w i d t h = 0   / > < i f r a m e >   < ! - - J a v a 和 s c r i p t 是 回 车 ， a l 和 e r t 是 T a b 换 行 符 - - > 他 可 以 弹 窗 ， 可 以 为 什 么 他 可 以 弹 窗 呢 ？ 这 里 面 有 回 车 、 换 行 符 啊 。 想 要 理 解 ， 我 们 来 看 看 w e b k i t 下 的 S o u r c e / j a v a s c r i p t c o r e / p a r s e r / l e x e r . c p p 是 怎 么 声 明 的 吧 。   w h i l e   ( m _ c u r r e n t   ! =   s t r i n g Q u o t e C h a r a c t e r )   {                 i f   ( U N L I K E L Y ( m _ c u r r e n t   = = ' ' ) )   {                         i f   ( s t r i n g S t a r t   ! =   c u r r e n t S o u r c e P t r ( )   & &   s h o u l d B u i l d S t r i n g s )                                 a p p e n d 8 ( s t r i n g S t a r t ,   c u r r e n t S o u r c e P t r ( )   -   s t r i n g S t a r t ) ;                         s h i f t ( ) ;                           L C h a r   e s c a p e   =   s i n g l e E s c a p e ( m _ c u r r e n t ) ;                           / /   M o s t   c o m m o n   e s c a p e   s e q u e n c e s   f i r s t                         i f   ( e s c a p e )   {                                 i f   ( s h o u l d B u i l d S t r i n g s )                                         r e c o r d 8 ( e s c a p e ) ;                                 s h i f t ( ) ;                         }   e l s e   i f   ( U N L I K E L Y ( i s L i n e T e r m i n a t o r ( m _ c u r r e n t ) ) )                                 s h i f t L i n e T e r m i n a t o r ( ) ; 注 意 倒 数 第 二 行 里 的 i s L i n e T e r m i n a t o r 函 数 。 这 里 我 来 说 说 大 致 的 意 思 ： 所 有 的 内 容 都 在 一 个 字 符 串 里 ， 用 w h i l e 逐 字 解 析 ， 遇 到 换 行 就 跳 过 。 然 后 在 拼 成 一 个 没 有 分 割 符 的 字 符 串 ， 所 以 这 时 的 X S S 代 码 成 功 弹 窗 了 。 W e b k i t 里 的 词 法 分 析 器 里 除 了 跳 过 换 行 符 ， 还 会 跳 过 什 么 字 符 呢 ？ 子 曰 ： 还 有 回 车 等 分 隔 符 。 根 据 w e b k i t 词 法 分 析 器 的 机 制 ， 我 们 就 可 以 写 更 多 的 猥 琐 x s s 代 码 。 下 面 再 说 说 这 个 注 意 事 项 ： < i f r a m e   s r c = " j a v a s c r i p t : a l e r t ( 1 ) "   h e i g h t = 0   w i d t h = 0   / > < i f r a m e >     < ! - - 这 个 可 以 弹 窗 - - > < i f r a m e   s r c = j a v a s c r i p t : a l e r t ( 1 ) ;   h e i g h t = 0   w i d t h = 0   / > < i f r a m e >     < ! - - 这 个 不 可 以 弹 窗 - - > 因 为 在 w e b k i t 的 词 法 分 析 器 里 ， 跳 过 回 车 、 换 行 等 分 隔 符 时 有 个 前 提 ， 那 就 是 必 须 用 单 / 双 引 号 围 住 ， 不 然 不 会 跳 过 。 因 为 如 果 不 使 用 引 号 ， 词 法 分 析 器 会 认 为   回 车 、 换 行 就 是 结 束 了 ， 如 果 你 运 行 上 面 这 段 代 码 ， w e b k i t 会 把 j a v a 当 做 地 址 传 给 s r c 。 词 法 分 析 器 跳 过 的 前 提 就 是 建 立 在 引 号 里 的 ， 切 记 。 这 里 在 说 一 个 ： 回 车 、 换 行 只 在 属 性 中 引 号 里 才 会 起 作 用 。 如 果 你 对 标 签 或 者 属 性 用   回 车 、 换 行 ， 这 时 你 大 可 放 心 ， 决 对 不 会 弹 窗 。 而 且 在 属 性 值 里   回 车 、 换 行 随 便 用 。 如 果 空 格 出 现 在 x s s 代 码 里 并 不 会 弹 窗 ， 但 是 如 果 出 现 在 字 符 和 符 号 之 前 ， 就 可 以 弹 了 。 如 图 ： 注 意 事 项 ： 跳 过 回 车 和 换 行 ， 不 支 持 跳 过 回 车 和 换 行 ， 不 支 持 o n 事 件 。 事 件 。 例 如 下 面 的 代 码 < a   h r e f = " j a v a s c r i p t : a l e r t ( 1 ) " > x s s < / a > 会 弹 窗 ， 但 是 下 面 的 代 码 就 不 行 了 < a   h r e f = " # "   o n c l i c k = " a l e r t ( 1 ) " > s < / a > 可 见 加 了 T a b 换 行 ， 就 无 法 弹 窗 了 。 但 是 还 是 支 持 字 符 和 符 号 之 间 加 入 空 格 的 。 本 节 就 是 告 诉 大 家 ， 想 要 玩 的 更 好 ， 最 好 追 溯 到 底 层 ， 从 底 层 来 看 攻 击 手 法 ， 你 会 发 现 很 多 问 题 迎 刃 而 解 。 0 x 0 4   利 用 利 用 N g i n x & A p a c h e 环 境 环 境   B U G 来 绕 过 来 绕 过 w a f ： ： 这 个 b u g 比 较 鸡 肋 ， 需 要 在 n g i n x & a p a c h e 环 境 ， 而 且 管 理 员 较 大 意 。 这 是 一 个 不 是 这 是 一 个 不 是 b u g 的 的 b u g 。 。 当 网 站 采 用 前 端 当 网 站 采 用 前 端 N g i n x ， 后 端 ， 后 端 A p a c h e 时 ， 需 要 在 时 ， 需 要 在 c o n f 配 置 ， 当 遇 到 配 置 ， 当 遇 到 P H P 后 缀 的 时 候 ， 把 请 求 交 给 后 缀 的 时 候 ， 把 请 求 交 给 A p a c h e 处 理 。 但 是 处 理 。 但 是 N g i n x 判 断 后 缀 是 否 为 判 断 后 缀 是 否 为 P H P 的 原 理 是 根 据 的 原 理 是 根 据 U R L 的 。 也 就 是 说 如 果 当 的 。 也 就 是 说 如 果 当 U R L 的 后 缀 的 后 缀 不 是 不 是 P H P 的 时 候 ， 他 并 不 会 把 的 时 候 ， 他 并 不 会 把 P H P 教 给 教 给 A p a c h e 处 理 。 处 理 。 配 置 :
乍 一 看 ， 没 什 么 问 题 。 但 是 这 里 隐 藏 一 个 漏 洞 。 我 在 t e s t 目 录 建 立 一 个 i n d e x . p h p ： 利 用 n g i n x & a p a c h e 这 个 b u g ， 再 加 上 浏 览 器 默 认 会 隐 藏 i n d e x . p h p 文 件 名 ， 那 么 漏 洞 就 来 了 。 访 问 a . c n / t e s t / i n d e x . p h p ? t e x t = < s c r i p t > a l e r t ( 1 ) < / s c r i p t > 不 会 弹 窗 ， 被 w a f . c o n f 给 拦 截 了 。 访 问 a . c n / t e s t / ? t e x t = < s c r i p t > a l e r t ( 1 ) < / s c r i p t > 会 弹 窗 ， 没 有 被 w a f . c o n f 给 拦 截 ， 因 为 n g i n x 根 据 U R L 判 断 这 不 是 p h p 文 件 ， 并 没 有 交 给 a p a c h e 处 理 ， 也 就 没 有 走 第 三 个 l o c a t i o n 流 程 。 本 节 是 告 诉 大 家 ， 绕 过 W A F 不 用 一 直 针 对 W A F ， 也 可 以 利 用 环 境 / 第 三 方 的 缺 陷 来 绕 过 。 0 x 0 5   从 从 H T T P 数 据 包 开 始 说 起 ： 数 据 包 开 始 说 起 ： 一 ： 现 在 有 一 部 分 网 站 一 ： 现 在 有 一 部 分 网 站 w a f 是 部 署 在 客 户 端 上 的 ， 利 用 是 部 署 在 客 户 端 上 的 ， 利 用 b u r p 、 、 f i d d l e r 就 可 以 轻 松 绕 过 。 就 可 以 轻 松 绕 过 。 很 多 时 候 我 们 遇 到 的 情 况 就 像 这 段 代 码 一 样 : < i n p u t   t y p e = " t e x t "   n a m e = " t e x t " > < i n p u t   t y p e = " s u b m i t "   o n c l i c k = " w a f ( ) " > 把 w a f 规 则 放 到 j s 里 。 我 们 可 以 提 交 一 个 w o a i n i 字 符 串 ， 然 后 用 b u r p 、 f i d d l e r 抓 包 、 改 包 、 提 交 ， 轻 轻 松 松 的 绕 过 了 客 服 端 的 W A F 机 制 。 二 ： 有 的 网 站 ， 他 们 对 百 度 、 二 ： 有 的 网 站 ， 他 们 对 百 度 、 g o o g l e 、 、 s o s o 、 、 3 6 0 等 爬 虫 请 求 并 不 过 滤 ， 这 时 我 们 就 可 以 在 等 爬 虫 请 求 并 不 过 滤 ， 这 时 我 们 就 可 以 在 U S E R - A g e n t 伪 造 自 己 是 搜 索 引 擎 的 爬 虫 ， 就 可 以 绕 过 伪 造 自 己 是 搜 索 引 擎 的 爬 虫 ， 就 可 以 绕 过 w a f 三 ： 有 的 网 站 使 用 的 是 三 ： 有 的 网 站 使 用 的 是 $ _ R E Q U E S T 来 接 受 来 接 受 g e t   p o s t   c o o k i e 参 数 的 ， 这 时 如 果 参 数 的 ， 这 时 如 果 w a f 只 对 只 对 G E T   P O S T 参 数 过 滤 了 ， 那 么 久 可 以 在 数 据 包 里 对 参 数 过 滤 了 ， 那 么 久 可 以 在 数 据 包 里 对 c o o k i e 进 行 构 造 攻 击 代 码 ， 来 实 现 绕 过 进 行 构 造 攻 击 代 码 ， 来 实 现 绕 过 w a f 。 。 四 ： 有 的 四 ： 有 的 w a f 对 对 G E T   P O S T   C O O K I E 都 过 滤 了 ， 还 可 以 进 行 绕 过 。 怎 么 绕 过 呢 ？ 都 过 滤 了 ， 还 可 以 进 行 绕 过 。 怎 么 绕 过 呢 ？ 假 设 网 站 会 显 示 你 的 I P 或 者 你 使 用 的 浏 览 器 ， 那 么 你 就 可 以 对 I P 、 u s e r - a g e n t 进 行 构 造 ， 在 P H P 里 X _ F O R W A R D E D _ F O R 和 H T T P _ C L I E N T _ I P 两 个 获 取 I P 的 函 数 都 可 以 被 修 改 。 想 详 细 了 解 的 可 以 去 ： h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 4 2 7 2 7 . h t m l   0 x 0 6 节 。 本 节 告 诉 我 们 w a f 是 死 的 ， 人 是 活 的 ， 思 想 放 开 。 不 要 跟 着 W A F 的 思 路 走 ， 走 出 自 己 的 思 路 ， 才 是 最 正 确 的 。 0 x 0 6   W A F 你 算 个 屌 ： 你 算 个 屌 ： 很 多 人 认 为 绕 过 W A F 需 要 根 据 W A F 的 规 则 来 绕 过 。 但 是 我 们 可 以 忽 视 他 ， 进 行 攻 击 。 我 们 利 用 第 三 方 插 件 来 进 行 攻 击 ， 因 为 第 三 方 插 件 的 权 限 非 常 大 ， 而 且 他 有 一 个 特 殊 的 性 质 ， 就 是 他 可 以 跨 域 。 我 们 可 以 事 先 在 插 件 里 调 用 一 个 j s 代 码 ， 对 方 安 装 之 后 浏 览 任 何 网 站 都 可 以 被 X S S 。 我 们 现 在 来 看 段 M a x t h o n 插 件 的 源 码 ： d e f . J s o n ： ： t e s t . j s ： ： 统 一 放 在 一 个 文 件 夹 里 ， 再 用 M x p a c k e . e x e 生 成 一 个 遨 游 插 件 。
双 击 就 可 以 安 装 这 个 插 件 。 这 不 算 是 一 个 漏 洞 ， 因 为 插 件 必 须 要 运 行 这 不 算 是 一 个 漏 洞 ， 因 为 插 件 必 须 要 运 行 j s 代 码 ， 而 代 码 ， 而 X S S 的 宗 旨 就 是 的 宗 旨 就 是   在 网 站 里 运 行 你 所 指 定 的 在 网 站 里 运 行 你 所 指 定 的 j s 代 码 。 代 码 。 所 以 ， 这 个 所 以 ， 这 个 x s s 没 办 法 修 复 ， 而 且 没 办 法 修 复 ， 而 且 c h r o m e   火 狐 火 狐   等 浏 览 器 都 存 在 。 等 浏 览 器 都 存 在 。 资 料 下 载 资 料 下 载 P P T 、 D O C 下 载 ： h t t p : / / p a n . b a i d u . c o m / s / 1 p J 6 w x j 9 [ 作 者 作 者 / b l a c k h o l e ， 本 文 属 ， 本 文 属 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e b u f . C O M ） 独 家 发 布 ， 未 经 允 许 禁 止 转 载 ） 独 家 发 布 ， 未 经 允 许 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理