如何利用 WAF 缺陷进行绕过

原创于 2025-01-19 04:15:00 发布 · 873 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #绕过WAF

浅析waf绕过
在挖洞过程中，往往会遇到各种攻击利用被waf拦截的情况，本文浅析总结了常见的一些绕过思路以及具体实现

利用waf的缺陷绕过
1.1利用waf性能缺陷-垃圾字符填充
对于通用性较强的软WAF来说，不得不考虑到各种机器和系统的性能，故对于一些超大数据包、超长数据可能会跳过不检测

因此可以填充大量垃圾字符来逃避waf对数据包的检测如下

在这里插入图片描述

1.2利用waf性能缺陷-发送大量请求包
可以采取高并发的攻击手段，waf同样出于性能考虑可能会直接放行部分数据包。

2.利用waf适配组件的缺陷
由于后端web容器、中间件、数据库、脚本语言的多样性，waf很难覆盖全，容易导致waf解析不了而后端可以正常解析读取导致的绕过

IIS+asp
在IIS+ASP的环境中，如果url中出现了百分号，但后面邻接的字符拼起来后又不在url编码表之内的话，ASP脚本处理时会将其忽略

例如假设有如下请求xxx.asp?id=1 union se%lect 1,2,3,4 fro%m adm%in

waf规则不严放行后，后端由于该特性成功处理执行了xxx.asp?id=1 union select 1,2,3,4 from admin导致绕过

TOMCAT
tomcat的特性也可以构造出许多绕过的方式，可以参考https://y4tacker.github.io/2022/06/19/year/2022/6/%E6%8E%A2%E5%AF%BBTomcat%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%B5%81%E9%87%8F%E5%B1%82%E9%9D%A2%E7%BB%95waf%E6%96%B0%E5%A7%BF%E5%8A%BF/这篇文章

1.参数前后添加空白字符绕过

filename="1.jsp"的filename字符左右可以加上一些空白字符%20 %09 %0a %0b %0c %0d %1c %1d %1e %1f，比如%20filename%0a="1.jsp"这样导致waf匹配不到我们上传⽂件

2.utf-16、cp037等各种编码绕过

utf-16
在这里插入图片描述

json下的unicode编码
3.利用waf适配协议的缺陷
3.1畸形请求（与Web应用所处的中间件有关，在部分中间件下不适用）
将HTTP请求头变为随机字符串例如xxxxT
请求方法后加一个table等空字符
使用get请求方法但带上post体（需要服务端能正常接受）在这里插入图片描述
3.2分块传输
仅仅适用于post传输方法

在这里插入图片描述
分块传输不少waf现在也都可以识别了，可以结合waf性能缺陷的思路综合利用-延时分块传输

具体使用可以参考该项目 http://github.com/c0ny1/chunked-coding-converter 在这里插入图片描述
3.3非预期请求方式
get改为post、Content-Type: application/x-www-form-urlencoded改为multipart/form-data等