【实操】实战 | 攻防中如何利用 WAF 缺陷进行绕过

【实战】攻防  WAF缺陷

作者：奇安信攻防社区（中铁13层打工人）

来源：https://forum.butian.net/share/3639

如侵权请联系stonefor345删除。

一、利用waf性能缺陷

1.1 利用waf性能缺陷-垃圾字符填充

对于通用性较强的软WAF来说，不得不考虑到各种机器和系统的性能，故对于一些超大数据包、超长数据可能会跳过不检测

因此可以填充大量垃圾字符来逃避waf对数据包的检测如下

1.2 利用waf性能缺陷-发送大量请求包

可以采取高并发的攻击手段，waf同样出于性能考虑可能会直接放行部分数据包。

二、利用waf适配组件的缺陷

2.1 IIS+asp

在IIS+ASP的环境中，如果url中出现了百分号，但后面邻接的字符拼起来后又不在url编码表之内的话，ASP脚本处理时会将其忽略

例如假设有如下请求xxx.asp?id=1 union se%lect 1,2,3,4 fro%m adm%in

waf规则不严放行后，后端由于该特性成功处理执行了xxx.asp?id=1 union select 1,2,3,4 from admin导致绕过

2.2 TOMCAT

tomcat的特性也可以构造出许多绕过的方式，可以参考这篇文章

https://y4tacker.github.io/2022/06/19/year/2022/6/%E6%8E%A2%E5%AF%BBTomcat%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%B5%81%E9%87%8F%E5%B1%82%E9%9D%A2%E7%BB%95waf%E6%96%B0%E5%A7%BF%E5%8A%BF/

参数前后添加空白字符绕过

filename="1.jsp"的filename字符左右可以加上一些空白字符%20 %09 %0a %0b %0c %0d %1c %1d %1e %1f，比如%20filename%0a="1.jsp"这样导致waf匹配不到我们上传⽂件

utf-16、cp037等各种编码绕过utf-16

cp037（原始payload为' and (7=len(db_name())) and 'a' = 'a）

2.3 json下的unicode编码

三、利用waf适配协议的缺陷

3.1 畸形请求（与Web应用所处的中间件有关，在部分中间件下不适用）

将HTTP请求头变为随机字符串例如xxxxT

请求方法后加一个table等空字符

使用get请求方法但带上post体（需要服务端能正常接受）

3.2 分块传输

仅仅适用于post传输方法

分块传输不少waf现在也都可以识别了，可以结合waf性能缺陷的思路综合利用-延时分块传输

具体使用可以参考该项目 

http://github.com/c0ny1/chunked-coding-converter

3.3 非预期请求方式

get改为post、Content-Type: application/x-www-form-urlencoded改为multipart/form-data等

寻找真实ip绕过云waf

云waf通过配置NS或者CNAME记录，使得对网站的请求报文优先经过WAF主机，经过WAF主机过滤之后，将被认为无害的请求报文再送给实际的网站服务器进行请求,此时只要找到服务器的真实ip,修改host为服务器真是ip即可绕过云waf

常见寻找真实ip的方式有如下几种

1.证书信息查询 https://myssl.com/

2.dns历史解析记录

3.搜集子域名ip c段(考虑到费用问题，一些子域名并不会部署)

4.超级ping

......

寻找没有部署waf的nginx反代机器

当waf在nginx服务器上部署，且存在nginx集群时，可以试试尝试寻找能反代服务却又没用部署waf的机器访问进行绕过

以下面这个为例，测试某接口发现被拦截

搜集ip信息为xxx.xxx.200.1xx

查找c段服务，一个个访问尝试

利用成功

利用waf白名单

WAF存在某些机制，不处理和拦截白名单中的请求数据

例如特定的ip,来自于搜索引擎爬虫的访问数据等

特定ip

可以使用插件将xff等头部设置为127.0.0.1等进行绕过尝试

https://github.com/TheKingOfDuck/burpFakeIP

搜索引擎爬虫的访问数据

User-Agent修改为谷歌搜索引擎等

• [一文详解]网络安全【攻防演练】中的防御规划与实施

• 攻防必备 | 10款国产“两高一弱”专项解决方案

• 【干货】2024 攻防演练 · 期间 | 需关注的高危漏洞清单

• 攻防演练在即，10个物理安全问题不容忽视

• 红队视角！2024 | 国家级攻防演练100+必修高危漏洞合集(可下载)

• 【攻防演练】中钓鱼全流程梳理

• 攻防演练在即：如何开展网络安全应急响应

• 【零信任】落地的理想应用场景：攻防演练

【原文来源：HACK之道 】

本文内容所包含内容仅限于学习和研究目的。这些内容源自公开的渠道搜集而来，目的是为帮助安全研究人员用于更好地理解和分析潜在的安全问题。

郑重提示：未经授权地利用可能涉及非法活动并导致法律责任和道德问题。请遵循适用的法律法规和道德准则。任何未经授权使用这些内容而导致的后果将由使用者自行承担。本文作者及安小圈不承担因使用本文内容而导致的任何法律问题、损害或责任。请详细阅读并理解这份免责声明。您将被视为已接受并同意遵守本免责声明所有条款和条件。

一周回顾
	国家网信办就 《终端设备直连卫星服务管理规定（征求意见稿）》 公开征求意见
	【网络安全】 遇到网信办网络安全专项检查， 客户需要准备哪些材料？
	迪士尼 遭【黑客入侵】 | 泄露1.1TB数据， 被迫弃用Slack
	【海外】 互联网巨头Meta 明文存储密码被罚款 7个亿
	英国 · 火车站【被 “黑”】 | 紧急关停公共WiFi： 被黑后传播恐怖主义信息
	1_【漏洞预警】 GNU Linux打印服务多个安全漏洞 导致远程代码执行
	2_【实操】 所有Linux 系统使用者
	向【ChatGPT】植入 恶意“长期记忆”， 持续窃取用户输入数据
	【黑客】知道， 但不希望安全专业人知道  “他们知道” 的 6 件事
	Cicada3301 【勒索软件】的 Linux 加密器 针对 VMware ESXi 系统
	【实操】堡垒机部署 | 堡垒机中 最应该过滤的几个危险命令， 你都配置好了没？
	【行业】 如何破解网络安全行业的颓废之势？ （系列之一）
	【勒索软件】团伙 滥用 Microsoft Azure 工具 窃取数据
	脑洞大开的【新型】钓鱼方法 -- reCAPTCHA 【网络钓鱼】
	【网络安全】 暴露面、攻击面、脆弱面是什么？
	【高风险】 弱口令，高风险，速修改！
	行业研究 | 打印机是如何泄露工作秘密的？
	Windows 漏洞 利用盲文“空格”进行 零日攻击
	网络安全知识： 什么是工业控制系统 (ICS) 网络安全？
	高管 需要注意的 网络安全习惯和行为
	世界最牛【安全架构】SAFE， 它来了！
	2024 美【黑客】大会 | (black hat usa)全课件分享
	【自查】 风险突出的30个 | 服务【高危】端口
	惊心动魄！ Akira 成功勒索100万美元， 全程谈判记录大曝光！
	网络被黑？ 原来是不履行 【网络安全】义务惹的祸
	PKfail曝光： 一场横扫ATM机、游戏机和企业服务器的安全风暴【风险】
	定向网络攻击？ 供应链攻击？ 黎巴嫩【传呼机爆炸】 刷新【网络战】TTP
	【漏洞预警】 VMware vCenter Server 堆溢出漏洞（CVE-2024-38812）
	速查！ 甲骨文Weblogic服务器 被【黑客】入侵
	【头条】中秋夜 | 网安一哥【奇安信】全部站点服务宕机
	我国71个机构受到勒索攻击
	提升网络安全技能和意识，应常态化开展的4项网络安全演习
	阿里云机房着火超30个小时， 云服务宕机， AWS趁火打劫？
	《网络安全 (风险评估) 报告》 ——样例
	揭开【社工库】的神秘面纱 | 裸奔的个人隐私
	中国【APT组织 攻击】国内贸易公司？ | 被控主机或来自【阿里云】！
	腾讯【微信】存在 可能导致远程代码执行【漏洞】
	【HVV】结束了， 裁员提上日程
	【HVV】 钓鱼佬思路全放送，拒绝空军！
	遭遇严重数据泄露后， 该公司宣布投入超6亿元 【升级安全】系统
	【针对中国】公务人员的 大规模【网络钓鱼】活动
	自行车无线变速器 曝出【漏洞】 | 黑客可操纵比赛结果

‍

原文始发于微信公众号（安小圈）：【实操】实战 | 攻防中如何利用 WAF 缺陷进行绕过