WAF绕过主要集中在信息收集,漏洞发现,漏洞利用,权限控制四个阶段。

1、什么是WAF?

Web Application Firewall(web应用防火墙),一种公认的说法是“web应用防火墙通过执行一系列针对HTTP/HTTPS的安全策略来专门为web应用提供保护的一款产品。

基本可以分为以下4种:

软件型WAF

以软件的形式安装在服务器上面,可以接触到服务器上的文件,因此就可以检测服务器上是否有webshell,是否有文件被创建等。

硬件型WAF

以硬件形式部署在链路中,支持多种部署方式。当串联到链路上时可以拦截恶意流量,在旁路监听模式时只记录攻击但是不进行拦截。

云WAF

一般以反向代理的形式工作,通过配置后,使对网站的请求数据优先经过WAF主机,在WAF主机对数据进行过滤后再传给服务器。

网站内置的WAF

就是来自网站内部的过滤,直接出现在网站代码中,比如说对输入的参数强制类转换啊,对输入的参数进行敏感词检测啊什么的。

2、如何判断WAF?

Wafw00f识别工具:

https://github.com/EnableSecurity/wafw00f

其他项目脚本平台。

3、目前有哪些常见WAF产品?

①硬件型

硬件型WAF以一个独立的硬件设备的形态存在,支持以多种方式(如透明桥接模式、旁路模式、反向代理等)部署到网络中为后端的Web应用提供安全防护,是最为传统的WAF型态,在受访企业中部署占比为35.2%。相对于软件产品类的WAF,这类产品的优点是性能好、功能全面、支持多种模式部署等,但它的价格通常比较贵。国内的绿盟、安恒、启明星辰等老牌厂商旗下的WAF都属于此类。

②软件型

这种类型的WAF采用纯软件的方式实现,特点是安装简单,容易使用,成本低。但它的缺点也是显而易见的,除了性能受到限制外,还可能会存在兼容性、安全等问题。这类WAF的代表有ModSecurity、Naxsi、ShareWAF、安全狗等。

③云WAF

随着云计算技术的快速发展,使得基于云的WAF实现成为可能,在本次调查中占比甚至超过了传统的硬件WAF跃升为第一位,达到39.4%。阿里云、腾讯云、深信服云WAF、Imperva WAF是这类WAF的典型代表。

常规WAF检测技术:

1.正则匹配——容易被绕过(使用加密,编码,分段等)

2.机器语言

3.行为分析

安全狗绕过-sql注入&文件上传

sql注入安全狗绕过:

1.关键字替换/关键字重复

测试注入点,发现被拦截

将and参数更改为like,成功绕过


还可以双写关键字绕过

2.更换提交方式绕过

如:安全狗只默认开启检测url,不会检测post

开始绕过

burp抓包——发送给Repeater——右键选择Change request method

更改为post请求,开始注入测试


更改正文编码绕过

3.HPP参数污染——使用网站安全狗(apache)4.0版本无法绕过

此方法利用的是中间件特性

特性图:

写一串输出用户传递参数的代码

访问,并且传递参数

传递一个参数:

传递两个参数时,只会输出最后一个参数值:


利用这个特性就可以配合注释符(/**/)绕过安全狗:

使用注释符包裹因为中间件特性要执行的注入语句,安全狗检测到注释符就不会注释符内的内容,从而绕过安全狗。

文件上传安全狗绕过:

pikachu靶场文件上传第一关本来上传jpg图片抓包修改后缀为php即可通关,但是布置了安全狗之后无法通关。

被安全狗拿捏了(=_=)

1.去掉符号绕过

去掉“1.php”的双引号变为 1.php

2.两个=或者多个=绕过——使用网站安全狗(apache)4.0版本无法绕过

使用两个=或者多个=绕过

3.后缀换行绕过——使用网站安全狗(apache)4.0版本无法绕过

对上传文件的后缀名进行换行

4.垃圾数据绕过——使用网站安全狗(apache)4.0版本无法绕过

在;filename="3.php"后面(或者前面的其他参数后面)写上很多垃圾数据,让安全狗在匹配时数据溢出,这样就无法检测到上传文件处。

格式:垃圾数据;filename="3.php"

5.参数模拟绕过

将文件名修改为数据包里面的参数,让安全狗误判。

网站目录也产生了上传的文件

免责声明

本文仅用于技术讨论与学习,利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,本平台和发布者不为此承担任何责任。