网络安全-长亭雷池的sql绕过

news2024/9/23 17:10:15

一、环境

雷池官网docker安装我的版本是

看官网介绍主要防御top10

二、讲解

我这里只描述通用型绕过，对于事件型不多描述，因为通用型的绕过是通杀的，差异化绕过

正常来说我们是因为没有一个很好的过滤所以造成第11关靶场的绕过

但是现在有了长亭的waf加入我们直接被拦截

那我们拿不到数据，怎么处理，我们一步步替换函数，看这个waf杀的是什么函数,这都是我乱写的根本没什么威胁

这根本不是一个正常的函数，但是还是被杀了

经过测试发现它其实杀的是and和我们的一个报错函数还有一个系统函数,现在出现系统函数都会报错

三、绕过前思路整理

我们来看看大佬分析的腾讯WAF绕过挑战赛的思路，正如大佬所说：对于一个 HTTP 请求，Nginx 解析了什么内容？交给后面的 PHP、ASP 又解析了什么内容？

multipart/form-data 。我们知道，HTTP 协议 POST 请求，除了常规的 application/x-wwwform-urlencoded 以外，还有 multipart/form-data 这种形式，主要是为了解决上传文件场景下文件内容较大且内置字符不可控的问题。multipart/form-data 格式也是可以传递 POST 参数的。对于 Nginx+PHP 的架构，Nginx 实际上是不负责解析 multipart/form-data 的 body 部分的，而是交由 PHP 来解析，因此 WAF 所获取的内容就很有可能与后端的 PHP 发生不一致。

这句话也是我们绕过的核心

举个例子

以php为例，我们写一个简单的绕过脚本

我们将报文转为multipart/form-data一个形式来进行一个上传值

此时，我们将其转为 multipart/form-data 格式：

可以看到，实际上和前一种 urlencoded 是达到了同一种效果，参数并没有进入$_FILES 数组，而是进入了$_POST 数组。那么，何时是上传文件？何时是 POST 参数呢？这个关键点在于有没有一个完整的 filename=。这 9 个字符是经过反复测试的，缺一个字符不可，替换一个字符也不可，在其中添加一个字符更不可。加上了 filename=以后的效果：

可以见得filename这几个字段少一个都不行

Bypass WAF 的核心思想在于，一些 WAF 产品处于降低误报考虑，对用户上传文件的内容不做匹配，直接放行。事实上，这些内容在绝大多数场景也无法引起攻击。但关键问题在于，WAF 能否准确有效识别出哪些内容是传给$_POST 数组的，哪些传给$_FILES 数组？如果不能，那我们是否就可以想办法让 WAF 以为我们是在上传文件，而实际上却是在 POST 一个参数，这个参数可以是命令注入、SQL 注入、SSRF 等任意的一种攻击，这样就实现了通用 WAF Bypass。

那核心思想就出来了让waf认为我们是上传文件，其实我们是POST一个数据