渗透测试之waf绕过基础

暮w光

已于 2022-02-17 19:39:46 修改

阅读量3.8k

点赞数 1

分类专栏：渗透测试 # 渗透工具 # waf绕过文章标签：后端安全 web安全

于 2022-01-28 01:04:37 首次发布

本文链接：https://blog.csdn.net/qi_SJQ_/article/details/122656287

版权

本文详细介绍了在渗透测试中如何绕过Web应用防火墙（WAF）的基础知识，包括信息收集、漏洞发现、漏洞利用和权限控制。讨论了通过伪造User-Agent、使用代理池和设置访问间隔来规避WAF拦截的方法。提到了AWVS、Burp Suite、Xray等工具在WAF绕过中的应用，并阐述了SQL注入、文件上传、XSS和RCE漏洞的绕过技巧。文章还强调了权限控制阶段，需要综合考虑WAF的限制和payload的免杀策略。

摘要由CSDN通过智能技术生成

思维导图：

一、信息收集

此处只针对对于目标网站直接扫描的信息收集讲解，其他辅助信息收集手段如：查旁站/识别cms等手段也不会遇到waf拦截。

1.安全狗—防ddos

cenos目前用的不熟练，于是我将服务器系统换成了winserver，搭建上web环境和安全狗，打开cc拦截开关，本地用目录扫描工具扫描后被拦截：

测试测试就行了，不要轻易把本机ip加进黑名单或者用7kbscan扫，否则远程连接直接就断了，反正会被waf狗自动拉黑，但是又不是那个黑白名单功能，我即使将ip加进白名单依旧无法连接上，反正就是waf搞的鬼（不过也不排除是阿里云服务器的内置规则）远程连接连不上，还得去控制台网页重连然后关闭安全狗才能连上！

2.绕过方法

我们可以：

伪造user-agent头—UA头伪装为百度等搜索引擎爬虫的信息

因为大部分waf会默认允许这些搜索引擎批量请求爬取信息(否则网站就垫底没人认识了....) 各大搜索引擎的User-Agent - iackjee - 博客园

可以用这款工具，但最好是会写自己的脚本，毕竟自己的用的更方便，工具修改的ua头有限制，而且没法自定义或者抓包。

import requests
import time

headers = {
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9',
    'Accept-Encoding': 'gzip, deflate, br',
    'Accept-Language': 'zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6',
    'Cache-Control': 'max-age=0',
    'Connection': 'keep-alive',
    'Cookie': 'PHPSESSID=4d6f9bc8de5e7456fd24d60d2dfd5e5a',
    'sec-ch-ua': '"Chromium";v="92", " Not A;Brand";v="99", "Microsoft Edge";v="92"',
    'sec-ch-ua-mobile': '?0',
    'Sec-Fetch-Dest': 'document',
    'Sec-Fetch-Mode': 'navigate',
    'Sec-Fetch-Site': 'none',
    'Sec-Fetch-User': '?1',
    'Upgrade-Insecure-Requests': '1',
    'User-Agent': 'Mozilla/5.0 (compatible; Baiduspider-render/2.0; +http://www.baidu.com/search/spider.html)'
}

for paths in open('top3000.txt'):
    url = "http://127.0.0.1/pikachu"
    paths = paths.replace('\n', '')
    urls = url + paths
    proxy = {
        'http': '1