0×01开场白 这个议题呢,主要是教大家一个思路,而不是把现成准备好的代码放给大家. 可能在大家眼中WAF(Web应用防火墙)就是"不要脸"的代名词.如果没有他,我们的"世界"可能会更加美好.但是事与愿违.没有它,你让各大网站怎么活.但是呢,我是站在你们的这一边的,所以,今天我们就来谈谈如何绕过WAF吧.之所以叫做"杂谈",是因为我在本次演讲里,会涉及到webkit.nginx&apache等.下面正式开始:) 0×02直视WAF: 作为

  0x00 原理 给服务器发送payload数据包,使得waf无法识别出payload,当apache,tomcat等web容器能正常解析其内容.如图一所示 0x02  实验环境 本机win10+xampp+某狗web应用防火墙最新版.为方便演示,存在sql注入的脚本中使用$_REQUEST["id"]来接收get,或者post提交的数据.waf配置为拦截url和post的and  or 注入,如图所示: 发送get请求或利用hackbar插件发送post请求payload均被拦截,

最*被*台的一些事情搞得心态有点崩,很久没写文了 *期想整理一下常见的各种操作中绕过WAF的思路与免杀的思路(这部分之前没整理完以后有机会再说),受限于个人水*因素所以一定是不完全的,而且在WAF日新月异的今天,有些办法已经退环境了(未经过全部测试),所以我倾向于本次从方法的角度讨论,(不出意外)而不针对某款特定的WAF讨论(因为想要成功需要针对功能点进行大量的fuzz尝试,有时候遇到包含集成规则的软WAF还需要逆向,鉴于自己是菜鸡就不展开了) 仍然是只说一些众所周知的办法,针对某种WAF规则f

本人也是小白一枚,大佬请绕过,这个其实是六月份的时候做的,那时候想多点实战经验,就直接用谷歌搜索找了一些网站,这个是其中一个 1.目标网站 2.发现有WAF防护 3.判断存在注入 4.猜测了一下闭合为",果真是"闭合,而且没有触发WAF,感觉还挺幸运的 5.尝试使用 order by判断当前数据库的字段数为20,本来以为WAF会拦截,发现也没有拦截 6.判断显示位,这次直接被拦截了 7.绕WAF,通过使用(+)代替空格的方法绕过WAF的拦截,并大写UNION SELECT,判断出显错点

XSS现代WAF规则探测及绕过技术初始测试 1.使用无害的payload,类似<b>,<i>,<u>观察响应,判断应用程序是否被HTML编码,是否标签被过滤,是否过滤<>等等: 2.如果过滤闭合标签,尝试无闭合标签的payload(<b,<i,<marquee)观察响应: 3.尝试以下的payload <script>alert();</script> <script>prompt();</scri

一.通配符简介: 一般来讲,通配符包含*和?,都是英文符号,*用来匹配任意个任意字符,?用来匹配一个任意字符. 举个例子使用通配符查看文件,可以很名下看到打卡的文件是/etc/resolv.conf: └─[$]> /???/r????v.c??f # # macOS Notice # # This file is not consulted for DNS hostname resolution, address # resolution, or the DNS query routing m

1.关键字大小写混合绕过 关键字大小写混合只针对于小写或大写的关键字匹配技术-正则表达式,如果在匹配时大小写不敏感的话,就无法绕过.这是最简单的一个绕过技术. 例如:将union select混写成UiNon SelEct 2.关键字替换绕过 某些函数方法或者正则表达式会替换或删除其中的关键字,例如union.select等.在有些情况下,方法会匹配多次.方法很简单,关键是要知道目标匹配几次. 例如: uniunionon匹配一次后就变成了union selselectect匹配一次就变成了se

0x00 前言 在服务器客户端领域,曾经出现过一款360主机卫士,目前已停止更新和维护,官网都打不开了,但服务器中依然经常可以看到它的身影.从半年前的测试虚拟机里面,翻出了360主机卫士Apache版的安装包,就当做是一个纪念版吧.这边主要分享一下几种思路,Bypass 360主机卫士SQL注入防御. 0x01 环境搭建 360主机卫士官网:http://zhuji.360.cn软件版本:360主机卫士Apache 纪念版测试环境:phpStudy这边主要分享一下几种思路,Bypass 360

堆叠查询注入 (双查询注入) stacked injections(堆叠注入)从名词的含义就可以看到是一堆的SQL语句一起执行,而在真实的运用中也是这样的,我们知道在mysql中,主要是命令行中,每一条语句加;表示语句结束.这样 子我们就想到了可以不可以多句一起使用,这个叫做stacked injection 只有mysql可以堆叠注入,重添加一个管理员账户 具体添加将新增加的用户加入管理员组 **phpstudy + safedog安装找不到服务问题** 市面上常见的waf产品列表 - waf

初始测试 1.使用无害的payload,类似<b>,<i>,<u>观察响应,判断应用程序是否被HTML编码,是否标签被过滤,是否过滤<>等等: 2.如果过滤闭合标签,尝试无闭合标签的payload(<b,<i,<marquee)观察响应: 3.尝试以下的payload <script>alert(1);</script><script>prompt(1);</script><script

sqlmap有一些非常好的脚本,在如下的地址中你能够发现它们.使用svn检查 https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev 事实上,脚本的作用是修改我们发出的请求来防止其被WAF(网络应用防火墙)拦截.在某些情况你可能需要把一些脚本合并到一起才能过WAF.脚本的完整列表访问如下: https://svn.sqlmap.org/sqlmap/trunk/sqlmap/tamper/ 许多企业经常忽视当前(DBMS)的脆弱性而依赖于网络防

0x00 目录 0x01 常规插入及其绕过 1 Script 标签 绕过进行一次移除操作: <scr<script>ipt>alert("XSS")</scr<script>ipt>Script 标签可以用于定义一个行内的脚本或者从其他地方加载脚本:<script>alert("XSS")</script><script src="http://attacker.org/mali

俗话说只要思路宽,绕狗绕的欢.前段时间我有尝试着用以下的方法绕狗,效果还不错.不过这方法呢也许这段时间可以绕过,过段时间可能就失效了,大家还是要多去尝试找到更多的方法. 举例-->整型注入 绕过WAF 绕过方法: 就是修改大小写 加%0a 或%0d去绕过(%0a是换行,%0d是回车) 如: and 1=1   可能会被过滤可改为  /*%0Aand%0a*/ 1=1  或  and 'a' in('a','b') 或  /*%0AaNd%0A*/ 1=1 Order by 7 可改为 group

初始测试 1.使用无害的payload,类似<b>,<i>,<u> 观察响应,判断应用程序是否被HTML编码,是否标签被过滤,是否过滤<>等等: 2.如果过滤闭合标签,尝试无闭合标签的payload(<b,<i,<marquee)观察响应: 3.尝试以下payload <script>prompt(1)</script><script>confirm(1)</script><script

在看了bypassword的<在HTTP协议层面绕过WAF>之后,想起了之前做过的一些研究,所以写个简单的短文来补充一下文章里“分块传输”部分没提到的两个技巧. 技巧1 使用注释扰乱分块数据包 一些如Imperva.360等比较好的WAF已经对Transfer-Encoding的分块传输做了处理,可以把分块组合成完整的HTTP数据包,这时直接使用常规的分块传输方法尝试绕过的话,会被WAF直接识别并阻断. 我们可以在[RFC7230]中查看到有关分块传输的定义规范. 4.1. Chunked T

分块传输原理介绍 背景 HTTP Connection有两种连接方式:短连接和长连接: 短连接即一次请求对应一次TCP连接的建立和销毁过程. 长连接是多个请求共用同一个连接这样可以节省大量连接建立时间提高通信效率.目前主流浏览器都会在请求头里面包含Connection:keep-alive字段,该字段的作用就是告诉HTTP服务器响应结束后不要关闭连接,浏览器会将建立的连接缓存起来,当在有限时效内有再次对相同服务器发送请求时则直接从缓存中取出连接进行通信.当然被缓存的连接如果空闲时间超过了设定值(

两个题的代码都是一样的 只是waf不一样 贴出代码 <?php function update_point($p,$point){ global $link; $q = sprintf("UPDATE users SET point=%d%s",$p,waf($point)); if(!$query = mysqli_query($link,$q)) return FALSE; return TRUE; } if(!update_point($_POST['flag'],$_PO

记一道SSRF配合SQL注入的题. 喜欢在做题之前扫一下网站的目录,扫到了robots.txt文件可以访问,拿到user.php.bak的源码.同时还有flag.php. <?php class UserInfo { public $name = ""; public $age = 0; public $blog = ""; public function __construct($name, $age, $blog) { $this->name = $

DNS隧道技术可以解决运控木马无法上线的问题,waf,防火墙对tcp,http,https等端口有流量检测,这个时候我们就可以使用隧道技术,让cs木马走DNS隧道,不仅可以检测不到而且也是一种反溯源的方法.cs使用DNS反溯源-推荐博客->反溯源我这个只是讲如何通过CDN上线cs运控木马,不是我不想跟上面的师傅(反溯源)一样,而是在注册免费国外域名的时候出现了freenom网站不让新用户注册,所以使用不了,这个我到时候再出一篇博客来解决这个问题.需要:云服务器域名域名解析在你自己的服务器上面开启

0x00 背景 sqlmap中的tamper脚本来对目标进行更高效的攻击. 由于乌云知识库少了sqlmap-tamper 收集一下,方便学习. 根据sqlmap中的tamper脚本可以学习过绕过一些技巧. 我收集在找相关的案例作为可分析什么环境使用什么tamper脚本. 小学生毕业的我,着能偷偷说一下多做一些收集对吸收知识很快. 0x01 start 脚本名:apostrophemask.py 作用:用utf8代替引号 1 Example: ("1 AND '1'='1") '1 AN

这个注入挺特殊的,是ip头注入.我们进行简单的探测: 首先正常发起一次请求,我们发现content-type是76 探测注入我习惯性的一个单引号: 一个单引号我发现长度还是76 我开始尝试单引号,双引号一起: 我失败了长度还是76 一般sql注入输入单引号一般长度都会有些变化. 我记录深入探测,我输入'--%20 返回了200,并且长度是0,这让我产生了一丝好奇.这里很有可能存在注入哦. 我继续探测: 输入--%20 嘶!我不禁开始怀疑这里是不是本身就不存在安全问题呢? 我都感觉像是数字类型了,