常见WAF绕过思路

常见WAF绕过思路

大家好,我是c00lman。今天给大家分享下常见WAF绕过思路。(由于本人个人能力有限,可能部分内容有错,如发现问题,请联系我,一定第一时间回复)

01

WAF分类

0x01 云waf

在配置云waf时(通常是CDN包含的waf),DNS需要解析到CDN的ip上去,在请求uri时,数据包就会先经过云waf进行检测,如果通过再将数据包流给主机。

0x02 主机防护软件

在主机上预先安装了这种防护软件,可用于扫描和保护主机(废话),和监听web端口的流量是否有恶意的,所以这种从功能上讲较为全面。这里再插一嘴,mod_security、ngx-lua-waf这类开源waf虽然看起来不错,但是有个弱点就是升级的成本会高一些。

0x03 硬件ips/ids防护、硬件waf

使用专门硬件防护设备的方式,当向主机请求时,会先将流量经过此设备进行流量清洗和拦截,如果通过再将数据包流给主机。

02

WAF身份认证阶段的绕过

WAF有一个白名单,在白名单内的客户请求将不做检测

0x01 伪造搜索引擎

早些版本的安全狗是有这个漏洞的,就是把User-Agent修改为搜索引擎,便可以绕过,进行sql注入等攻击,这里推荐一个谷歌插件,可以修改User-Agent,叫User-Agent Switcher

0x02 伪造白名单特殊目录

360webscan脚本存在这个问题,就是判断是否为admin dede install等目录,如果是则不做拦截,比如

GET /pen/news.php?id=1 union select user,password from mysql.user

可以改为

GET /pen/news.php/admin?id=1 union select user,password from mysql.user

或者

GET /pen/admin/..\news.php?id=1 union select user,password from mysql.user

0x03 直接攻击源站

这个方法可以用于安全宝、加速乐等云WAF,云WAF的原理通过DNS解析到云WAF,访问网站的流量要经过指定的DNS服务器解析,然后进入WAF节点进行过滤,最后访问原始服务器,如果我们能通过一些手段(比如c段、社工)找到原始的服务器地址,便可以绕过。

03

WAF数据包解析阶段的绕过

0x01 编码绕过

最常见的方法之一,可以进行urlencode。

0x02 修改请求方式绕过

大家都知道cookie中转注入,最典型的修改请求方式绕过,很多的asp,aspx网站都存在这个问题,有时候WAF对GET进行了过滤,但是Cookie甚至POST参数却没有检测。还有就是参数污染,典型例子就是multipart请求绕过,在POST请求中添加一个上传文件,绕过了绝大多数WAF。

0x03 复参数绕过

例如一个请求是这样的

GET /pen/news.PHP?id=1 union select user,password from MySQL.user

可以修改为

GET /pen/news.php?id=1&id=union&id=select&id=user,password&id=from%20mysql.user

很多WAF都可以这样绕。

04

WAF触发规则的绕过

WAF在这里主要是针对一些特殊的关键词或者用法进行检测。绕过方法很多,也是最有效的。

0x01 特殊字符替换空格

用一些特殊字符代替空格,比如在mysql中%0a是换行,可以代替空格,这个方法也可以部分绕过最新版本的安全狗,在sqlserver中可以用/**/代替空格

0x02 特殊字符拼接

把特殊字符拼接起来绕过WAF的检测,比如在Mysql中,可以利用注释/**/来绕过,在mssql中,函数里面可以用+来拼接,例如

GET /pen/news.php?id=1;exec(master..xp_cmdshell 'net user')

可以改为

GET /pen/news.php?id=1; exec('maste'+'r..xp'+'_cmdshell'+'"net user"')

0x03 注释包含关键字

在mysql中,可以利用/*!*/包含关键词进行绕过,在mysql中这个不是注释,而是取消注释的内容。

例如,GET /pen/news.php?id=1 union select user,password from mysql.user

可以改为

GET /pen/news.php?id=1 /*!union*/ /*!select*/ user,password /*!from*/ mysql.user

05

常见绕过WAF方法总结

0x01 大小写转换法

把大写的小写,小写的大写。比如:

SQL:sEleCt vERsIoN();

‍‍XSS:

出现原因:在waf里,使用的正则不完善或者是没有用大小写转换函数。

0x02 干扰字符污染法

空字符、空格、TAB换行、注释、特殊的函数等等都可以。比如下面的:

SQL:sEleCt+1-1+vERsIoN /*!*/ ();`yohehe‍‍

‍‍SQL2:select/*!*/`version`();

出现原因:利用网站使用的语言函数特性来绕过waf的规则或者使用会无视的字符。

0x03 字符编码法

就是对一些字符进行编码,常见的SQL编码有unicode、HEX、URL、ascll、base64等,XSS编码有:HTML、URL、ASCII、JS编码、base64等等

SQL:load_file(0x633A2F77696E646F77732F6D792E696E69)

‍‍‍‍XSS:rip>

出现原因:利用waf的不完整性,只验证一次字符串或者过滤的字符串并不完整。

本来想给大家分享个不错的免杀PHP大马基本无视各类waf,因为是最新放出来的,而且后门我还没分析成功,不知道有没有后门,就先不放给大家了。如果大家需要的话,可以后台留言,我私发给你。

想交流的可以加一下群,互相学习,多多指教。(如果人数过100进不了,后台留言,我会拉你进群。)

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20180626G0I37J00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

同媒体快讯

扫码关注云+社区

领取腾讯云代金券