sql注入之参数污染绕waf

hpp参数污染了解

HPP是HTTP Parameter Pollution的缩写。

这个漏洞由S. di Paola 与L. Caret Toni在2009年的OWASP上首次公布。这也是一种注入型的漏洞,攻击者通过在HTTP请求中插入特定的参数来发起攻击。如果Web应用中存在这样的漏洞,可以被攻击者利用来进行客户端或者服务器端的攻击。

通过hpp参数污染可以达到绕过sqlwaf,上传waf来进行攻击。

hpp参数污染原理

在跟服务器交互的过程中,http允许 get 或者post多次传同一参数值,造成覆盖达到一些绕过waf的效果。

    GET /foo?par1=val1&par2=val2 HTTP/1.1

    User-Agent: Mozilla/5.0

    Host: Host

    Accept: */*

如上面的http请求,一般同一参数名字只能传参一次,但是http协议中允许同样名称的参数出现多次。

但是不同的服务器处理方式会不一样,比如:

必应

我们输入了两次q参数,第一次为aa第二次为bb被覆盖了,

谷歌

输入两个q参数可以看到都被加载到了浏览器搜索中。没有覆盖

如果同时提供2个搜索的关键字参数给Google,那么Google会对2个参数都进行查询;但是必应则不一样,它只会处理后面一个参数。下面这个表简单列举了一些常见的Web服务器对同样名称的参数出现多次的处理方式:

    Web服务器                参数获取函数                                   获取到的参数

    PHP/Apache               $_GET(“par”)                                  Last

    JSP/Tomcat                 Request.getParameter(“par”)        First

    Perl(CGI)/Apache       Param(“par”)                                  First

    Python/Apache           getvalue(“par”)                               All (List)

    ASP/IIS                       Request.QueryString(“par”)           All (comma-delimited string)

参数污染实例

waf绕过

这种服务器的解析方式本身没有什么缺陷,但是如果配合一些waf规则以及其他规则,则有可能造成一些危害,根据waf解析的先后规则则有可能绕过waf设置的原意。

    $sql = "select * from admin where id=1";

    $sql=$sql."".$_POST['bbs'];

    echo $sql;

    $pattern='/^.*union.*$/';

    if(preg_match($pattern, $sql))

    {echo "注入测试   ";}

在特定情况下 bbs=u&bbs=n&bbs=i&bbs=o&bbs=n&bbs=select 1,user(),3

可以绕过一些waf,在CTF中也有出现。

将参数分离写入,waf在输入之后就开始拦截,在后端又拼接成完整的union,根据一些特定服务器就可以绕过waf进行注入。

文件上传

先看一个上传数据包。

    POST /upload.php HTTP/1.1

    Host: 192.168.1.100

    User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:51.0) Gecko/20100101 Firefox/51.0

    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

    Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

    Accept-Encoding: gzip, deflate

    Referer: http://192.168.1.100/

    Cookie:yunsuo_session_verify=1a9c7117538a7a9bce39a4695ff3f0cc; safedog-flow-item=

    X-Forwarded-For: 1.1.1.1

    CLIENT_IP: 2.2.2.2

    Connection: keep-alive

    Upgrade-Insecure-Requests: 1

    Content-Type:multipart/form-data; boundary=---------------------------440470572354

    Content-Length: 1089


-----------------------------440470572354

    Content-Disposition: form-data; name="file"; filename="n.php"

    Content-Type: application/octet-stream

    <?php

    Phpinfo();

    ?>

-----------------------------440470572354

    Content-Disposition: form-data; name="submit"

    Submit

-----------------------------440470572354--

Content-Type:multipart/form-data; 指代的是这个数据是来自表单提交的

某些WAF是通过Content-Type识别是否是文件上传数据包。假设我们将Content-Type更改,数据包也是正常提交过去的。这个就完成了一次bypass。

还有的时候就是Content-Disposition: form-data;,也有某些WAF是根据Content-Disposition匹配filename的,用于验证黑名单。我们经过混淆大小写也是可以bypass的。(http://www.secpulse.com/archives/56523.html)

拦截:




在HPP中最典型的的例子就是“双文件上传”。

就是在协议中,提交两个相同的值,达到欺骗WAF一次匹配的目的。在这里提点一下http协议中参数名与参数值的结构。

可以看到filename参数写了两次,可能绕过一些上传限制。


xss

当然这种特性有时候也可以测试xss漏洞,原理一样。暂不测试。

©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 213,711评论 6 493
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 91,079评论 3 387
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 159,194评论 0 349
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 57,089评论 1 286
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,197评论 6 385
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,306评论 1 292
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,338评论 3 412
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 38,119评论 0 269
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,541评论 1 306
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,846评论 2 328
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,014评论 1 341
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 34,694评论 4 337
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,322评论 3 318
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,026评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,257评论 1 267
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 46,863评论 2 365
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 43,895评论 2 351

推荐阅读更多精彩内容