先知技术社区独家发表本文, 如需要转载, 请先联系先知技术社区授权 ; 未经授权请勿转载先知技术社区投稿邮箱我的 WafBypass 之道 (upload 篇 ) 0x00 前言 Author:Tr3jer_CongRon

Size: px

Start display at page:

Download "先知技术社区独家发表本文, 如需要转载, 请先联系先知技术社区授权 ; 未经授权请勿转载先知技术社区投稿邮箱我的 WafBypass 之道 (upload 篇 ) 0x00 前言 Author:Tr3jer_CongRon"

谛翎印
5 years ago
Views:

1 先知技术社区独家发表本文, 如需要转载, 请先联系先知技术社区授权 ; 未经授权请勿转载先知技术社区投稿邮箱 :Aliyun_xianzhi@service.alibaba.com; 我的 WafBypass 之道 (upload 篇 ) 0x00 前言 Author:Tr3jer_CongRong Blog: Mail:Tr3jer@gmail.com 玩 waf 当然也要讲究循序渐进, 姊妹篇就写文件上传好了, 感觉也就 SQLi 和 Xss 的 WafBypass 最体现发散性思维的, 而文件上传免杀权限提升这几点的 Bypass 更需要的是实战的经验本文内容为沉淀下来的总结以及一些经典案例想到哪写到哪, 所以可能不是很全创造姿势不易, 且行且珍惜 ( 案例图不好上, 毕竟是 upload 的 Bypass, 就直接上姿势 ) 阅读此文你会发现新老姿势都有, 因为我是想系统的写一写, 文件上无非就是结合各种特性或 waf 缺陷辍写时想过一个问题, 如何归拢哪些属于文件上传 Bypass 的范畴? 打个比方 : 上传正常.jpg 的图片 # 成功上传正常.php # 拦截绕过.php 文件的 filename 后进行上传 # 成功使用绕过了 filename 的姿势上传恶意.php # 拦截以上这么个逻辑通常来讲是 waf 检测到了正文的恶意内容再继续写的话就属于免杀的范畴了, 过于模糊并且跑题了, 并不是真正意义上的文件上传 Bypass, 那是写不完的 0x01 搞起上传文件 ( 歪脖骚 ) 时 waf 会检查哪里? 请求的 url Boundary 边界 MIME 类型文件扩展名文件内容

常见扩展名黑名单 : asp asa cer cdx aspx ashx ascx asax php php2 php3 php4 php5 asis htaccess htm html shtml pwml phtml phtm js jsp vbs asis sh reg cgi exe dll com bat pl cfc cfm ini 个人写的稍微全一点, 实际上 waf

2 常见扩展名黑名单 : asp asa cer cdx aspx ashx ascx asax php php2 php3 php4 php5 asis htaccess htm html shtml pwml phtml phtm js jsp vbs asis sh reg cgi exe dll com bat pl cfc cfm ini 个人写的稍微全一点, 实际上 waf 的黑名单就不一定这么全了测试时的准备工作 : 什么语言? 什么容器? 什么系统? 都什么版本? 上传文件都可以上传什么格式的文件? 还是允许上传任意类型? 上传的文件会不会被重命名或者二次渲染? 0x02 容器特性有些很老的特性其实也是最开始绕 waf 的基础, 这里就一笔带过了 Apache1.X 2.X 解析漏洞 : Apache 在以上版本中, 解析文件名的方式是从后向前识别扩展名, 直到遇见 Apache 可识别的扩展名为止 Win2k3 + APACHE PHP IIS6.0 两个解析缺陷 :

3 目录名包含.asp.asa.cer 的话, 则该目录下的所有文件都将按照 asp 解析例如 : 文件名中如果包含.asp;.asa;.cer; 则优先使用 asp 解析例如 : 有一点需要注意, 如果程序会将上传的图片进行重命名的话就 gg 了 Nginx 解析漏洞 : Nginx 0.5.* Nginx 0.6.* Nginx 0.7 <=

4 Nginx 0.8 <= 以上 Nginx 容器的版本下, 上传一个在 waf 白名单之内扩展名的文件 shell.jpg, 然后以 shell.jpg%00.php 进行请求 Nginx : 以上 Nginx 容器的版本下, 上传一个在 waf 白名单之内扩展名的文件 shell.jpg, 然后以 shell.jpg%20%00.php 进行请求 PHP CGI 解析漏洞 : IIS 7.0/7.5 Nginx < 以上的容器版本中默认 php 配置文件 cgi.fix_pathinfo=1 时, 上传一个存在于白名单的扩展名文件 shell.jpg, 在请求时以 shell.jpg/shell.php 请求, 会将 shell.jpg 以 php 来解析多个 Content-Disposition: 在 IIS 的环境下, 上传文件时如果存在多个 Content-Disposition 的话, IIS 会取第一个 Content-Disposition 中的值作为接收参数, 而如果 waf 只是取最后一个的话便会被绕过 Win2k8 + IIS7.0 + PHP 请求正文格式问题 : Content-Disposition: form-data; name="file1"; filename="shell.asp" Content-Type: application/octet-stream 正常的 upload 请求都是以上这样, 然而这个格式也并非强制性的, 在 IIS6.0 下如果我们换一种书写方式, 把 filename 放在其他地方 :

5 Win2k3 + IIS6.0 + ASP 结合.htaccess 指定某些文件使用 php 来解析 : 这个方法通常用于绕过 waf 黑名单的, 配置该目录下所有文件都将其使用 php 来解析 : 0x03 系统特性 Windows 特殊字符 : 当我们上传一个文件的 filename 为 shell.php{%80-%99} 时 :

6 waf 可能识别为.php{%80-%99}, 就会导致被绕过 Win2k8 + IIS7.0 + PHP exee 扩展名 : 上传.exe 文件通常会被 waf 拦截, 如果使用各种特性无用的话, 那么可以把扩展名改为.exee 再进行上传 NTFS ADS 特性 : ADS 是 NTFS 磁盘格式的一个特性, 用于 NTFS 交换数据流在上传文件时, 如果 waf 对请求正文的 filename 匹配不当的话可能会导致绕过

7 Windows 在创建文件时, 在文件名末尾不管加多少点都会自动去除, 那么上传时 filename 可以这么写 shell.php... 也可以这么写 shell.php::$data... Win2k8 + IIS7.0 + PHP 0x04 waf 缺陷匹配过于严谨 : 一个空格导致安全狗被绕过 : Content-Type: multipart/form-data; boundary= 尝试在 boundary 后面加个空格或者其他可被正常处理的字符 : boundary =

8 Win2k3 + IIS6.0 + ASP 以上也能说明一个问题, 安全狗在上传文件时匹配各个参数都十分严谨, 不过 IIS6.0 以上也变的严谨了, 再看看其他的地方 : 每次文件上传时的 Boundary 边界都是一致的 : Content-Type: multipart/form-data; boundary= Content-Length: Content-Disposition: form-data; name="file1"; filename="shell.asp" Content-Type: application/octet-stream <%eval request("a")%> 但如果容器在处理的过程中并没有严格要求一致的话可能会导致一个问题, 两段 Boundary 不一致使得 waf 认为这段数据是无意义的, 可是容器并没有那么严谨 : Win2k3 + IIS6.0 + ASP 修改 Content-Type 的 MIME 类型 :

9 Win2k3 + IIS6.0 + ASP ASCII > 127 的字符 : 数据过长导致的绕过 : waf 如果对 Content-Disposition 长度处理的不够好的话可能会导致绕过, 例如 : Win2k3 + IIS6.0 + ASP 基于文件名 : 基于构造长文件名

10 如果 web 程序会将 filename 除了扩展名的那段重命名的话, 那么还可以构造更多的点符号等等特殊的长文件名 : 文件名使用非字母数字, 比如中文等最大程度的拉长, 不行的话再结合一下其他的特性进行测试 : shell.asp; 王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王王.jpg 0x05 End 在这里放上个人之前总结的 30 个上传绕过姿势 :

11 1. filename 在 content-type 下面 2..asp{80-90} 3. NTFS ADS 4..asp boundary 不一致 6. iis6 分号截断 asp.asp;asp.jpg 7. apache 解析漏洞 php.php.ddd 8. boundary 和 content-disposition 中间插入换行 9. hello.php:a.jpg 然后 hello.<<< 10. filename=php.php 11. filename="a.txt";filename="a.php" 12. name=\n"file";filename="a.php" 13. content-disposition:\n 14..htaccess 文件 15. a.jpg.\nphp 16. 去掉 content-disposition 的 form-data 字段 17. php<5.3 单双引号截断特性 18. 删掉 content-disposition: form-data; 19. content-disposition\00: 20. {char}+content-disposition 21. head 头的 content-type: tab 22. head 头的 content-type: multipart/form-data 23. filename 后缀改为大写 24. head 头的 Content-Type: multipart/form-data;\n 25..asp 空格 26..asp0x00.jpg 截断 27. 双 boundary 28. file\nname="php.php" 29. head 头 content-type 空格 : 30. form-data 字段与 name 字段交换位置文件上传 Bypass 可写的点不多, 现有的姿势也不能拿出来讲 ( 笑 ) 重点在于上传文件时遇到 waf 能够准确判断所拦截的点, 目光不能只盯在 waf, 更多的时注意后端的情况往往是需要结合哪些语言 / 容器 / 系统 * 版本可以怎样不可以怎样

2003年信息资源调查报告

2003年信息资源调查报告 2003 03 2003 2004 2 ... 1... 2... 2... 2... 3... 3... 4... 7... 7... 9... 9... 9... 10... 12... 12... 13... 29... 60... 60 100... 63 100... 65... 67... 67... 70... 79... 79... 79... 85... 86 2003 i 1...

先知技术社区独家发表本文, 如需要转载, 请先联系先知技术社区授权 ; 未经授权请勿转载 先知技术社区投稿邮箱 我的 WafBypass 之道 (upload 篇 ) 0x00 前言 Author:Tr3jer_CongRon

先知技术社区独家发表本文, 如需要转载, 请先联系先知技术社区授权 ; 未经授权请勿转载先知技术社区投稿邮箱我的 WafBypass 之道 (upload 篇 ) 0x00 前言 Author:Tr3jer_CongRon