waf绕过之文件上传绕过、xss绕过以及查杀工具

最新推荐文章于 2024-08-17 23:09:12 发布
最新推荐文章于 2024-08-17 23:09:12 发布
阅读量892 收藏 3
点赞数
分类专栏： WAF绕过 文章标签： php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46248422/article/details/119110517
版权
本文探讨了如何绕过WAF的文件上传和XSS防御，包括等号、换行和垃圾字符等方法。接着介绍了Webshell免杀的多种策略，如函数创建、变量覆盖和数据流文件隐藏。最后提到了WEBSHELL后门的分析方法，如抓包和代码分析，并提到服务器查杀工具如D盾和安全狗。
摘要由CSDN通过智能技术生成

一、文件上传绕过：

 

方法一：等号绕过：在filename后面夹两个==

 

方法二：换行绕过：在文件后缀名处换行

 方法三：填充垃圾字符

方法四五试过没有成功：

方法四：突破0，文件名前缀加[0x09]绕过

方法五：文件名去掉双引号绕过

二、XSS绕过WAF<

最低0.47元/天 解锁文章
dhl383561030
关注
专栏目录
渗透测试之waf绕过基础
qi_SJQ_的博客
01-28 3826
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 思维导图 一、pandas是什么？ 二、使用步骤 1.引入库 2.读入数据 总结 思维导图： 一、信息收集 此处只针对对于目标网站直接扫描的信息收集讲解，其他辅助信息收集手段如：查旁站/识别cms等手段也不会遇到waf拦截。 1.安全狗—防ddos cenos目前用的不熟练，于是我将服务器系统换成了winserver，搭建上web环境和安全狗，打开cc拦截开关，本地.
绕过D盾，D盾实战绕过
11-18
绕过D盾实战，想学习的同学。。抓紧，这是一个带实战的视频。更有一个提升。
文件上传—WAF拦截的绕过方式
qq_56228347的博客
11-24 2961
文件上传—WAF拦截的绕过方式
XSS-过滤特殊符号的正则绕过
最新发布
2301_78549931的博客
08-17 1010
结果为数字8680439也就是说我们利用parseInt函数将关键字变为一串数字，但数字肯定无法运行，我们还需要再变回去，要将一个数字转换为特定的。
文件上传与sql注入绕过WAF
dys的博客
06-19 585
文件上传与sql注入绕过waf
毕业一年，从事运维感觉没有出路，如何转型更有前景？
Python_0011的博客
07-08 857
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
【WAF Bypass】文件上传绕过waf姿势总结
m0_46103905的博客
06-01 1877
总结了文件上传绕waf的一些姿势，以及针对网站安全狗进行了实战演练。
Waf功能、分类与绕过
tenyuanruby的博客
12-22 265
WAF是Web应用防火墙（Web Application Firewall）的简称，对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，为Web应用提供防护，也称作应用防火墙，是网络安全纵深防御体系里重要的一环。WAF属于检测型及纠正型防御控制措施。WAF分为硬件WAF、软件WAF（ModSecurity）和云WAF。WAF对请求的内容进行规则匹配、行为分析等识别出恶意行为，并执行相关动作，这些动作包括阻断、记录、告警等。
【网络安全】文件上传绕过思路总结
HBohan的博客
11-20 2523
硬怼 【技术资料】 硬怼的话，主要是从下面这些方法入手去操作。 （1）fuzz后缀名 看看有无漏网之鱼（针对开发自定义的过滤可能有机会，针对waf基本不可能。更多的情况是php的站寻找文件包含或者解析漏洞乃至传配置文件一类的，但是对于这种也大可不必fuzz后缀名了） （2）http头变量改造 首先要明确waf的检测特征，一般是基于某种特定的情况下，去针对相应的拦截。几个例子，文件上传的时候，大多数Content-Type都是application/multipart-formdata这种，name对于w
18. XSS过滤器绕过 [猥琐绕过]
→_→
05-22 593
作者：心伤的瘦子 来自：PKAV技术宅社区 网址：http://www.pkav.net ---------------------------------------------------------------------------------------------------------- 简要描述： 有些时候，通用的绕过技巧并不可行，这个时候我们就得观察缺陷点的周围环境，想想其它办法咯。“猥琐绕过”与通用绕过不同的是，它通用性小，往往只是特例。 详细说明： 1. 直接看实例点：
上传绕过WAF的15中姿势
06-29
绕过WAF进行文件上传的文旦，可以学习一些姿势加以利用。
文件上传验证绕过技术总结
07-24
文件上传验证绕过技术总结,可以学习一下啊，比较全面了
XSSBypass:XSS绕过技术
05-17
XSS绕过 XSS绕过技术，带来乐趣和收益。 尝试使用XSS漏洞逐行绕过Web应用程序安全性XSS过滤器。
WAF绕过的各种方法总结.pdf
07-09
WAF绕过的各种方法总结总结语2019年7月9日，仅供学习参考，请勿用于非法用途
上传文件绕过姿势
mozhe_的博客
05-04 696
限制上传文件扩展名WebShell文件上传漏洞分析溯源(第1题)https://www.mozhe.cn/bug/detail/UjV1cnhrbUxVdmw5VitBdmRyemNDZz09bW96aGUmozhe了解PHP及PHP5各个版本的相关知识；了解PHP上传绕过扩展名的方法；了解Burpsuite的使用方法。js限制上传文件格式WebShel...
渗透测试-过D盾一句话+上传小马
lza20001103的博客
08-29 1417
过D盾一句话+上传小马 文章目录过D盾一句话+上传小马前言方式一PHP一句话马方式二PHP上传小马 前言 webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。使用方法简单，只需上传一个代码文件，通过网址访问，便可进行很多日常操作，极大地方便了使用者对网站和服务器的管理。正因如此，也有小部分人将代码修改后当作后门程序使用，以达到控制网站服务器的目的。 方式一 PHP一句话马 1.代码 <?php class
XSS过滤速查表
Fizz`s Blog
11-12 3120
初见于Freebuf，放在这里收藏一下。 就是OWASP的速查表 不过是中文的 1.介绍 这篇文章的主要目的是给专业安全测试人员提供一份跨站脚本漏洞检测指南。文章的初始内容是由RSnake提供给 OWASP，内容基于他的XSS备忘录:http://ha.ckers.org/xss.html。目前这个网页已经重定向到OWASP网站，将由OWASP维护和完善它。OWASP
文件上传限制绕过技巧
weixin_34104341的博客
08-20 1023
简介文件上传漏洞是web安全中经常利用到的一种漏洞形式。一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，再通过url去访问以执行代码。但在一些安全性较高的web应用中，往往会有各种上传限制和过滤，导致我们无法上传特定的文件。本文将就此展开讨论，通过本文的学习你将了解到Web应用中文件上传的处理和验...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

dhl383561030

您的鼓励是我前进的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值