WAF的正确bypass

站长资源 2024/11/28 佚名

2 0 1

本文属i春秋的原创奖励计划，未经许可禁止转载！

前言半年前的我，手握各种WAF的bypass，半年之后的我。就把思路分享出来了。别问我什么！问了我也不会告诉你，我是没事闲的！是不是好多人遇见WAF，就一阵头大呢~今天我就开车啦~大家快上车！

正文测试环境

php：我使用的是 phpStudy

WAF：各种WAF的官网

测试思路 php的本地环境是用来检测sql语句是否可以执行。

WAF官网用来测试语句是否被拦截。

重点：

1.HTTP数据包的认识。

2.充分利用数据库的注释功能。

3.有对WAF的构造思路。

测试代码本地PHP存在注入漏洞的代码：

<"select * from user where id={$id}"; $cun = mysql_query($sql); echo "< charset=utf-8>";while($row = mysql_fetch_array($cun)) { echo "url：".$row['URL']."<br>"; echo "password：".$row['password']."<br>"; echo "<hr>"; } mysql_close($conn); echo "您当前执行的SQL语句："; echo urldecode($sql); "text-align: center">

可以发现，上面成功接收到了GET数据包提交的数据。这是理所当然的！

2.测试POST提交的GET型注入

从上面可以看出，POST数据包种，确实包含了GET的数据包。所以，在有些时候进行Bypass测试时，适当的改下数据包类型，也是可以的哦。

在360主机卫士的之前版本中，POST提交只拦截POST的数据，当你利用POST数据包进行GET注入时，它是不会进行拦截的哦~ GET型注入测试绕过云锁 - 伪造HTTP数据包首先，我们去云锁的官网进行Bypass测试！我们在云锁官网的URL后面加入 and 1=1 进行测试。

当然，正如所料 100% 被拦截

一般情况，大家都会扭头就走~ 那我们现在来伪造个POST数据包，进行测试把~

正如我们期待的那样，伪造数据包后，WAF就被一棍子打死了~ 有时，即使我们伪造数据包后，仍过不了WAF，不要灰心，因为这个时候WAF的规则绝对比GET包的规则少哦~ GET型注入测试 - 合理构造HTTP数据包 - 思路在http数据包中每个参数中间都会用&符连接，那么我们可不可以利用这个&符号呢？下面我们先来进行本地测试！

我们发现即使 &符后面的参数被 /* 包含住，这可以被接收到。并没有被注释掉！那是因为， /* 被HTTP当成了参数a的值，而并不是当成了注释！有时候，我们可以利用这个方法，加其他的方法来bypass。

后记挖WAF的bypass时，一定要从多方面入手，编码，协议，语句等，甚至有时都会利用系统的截断！

推荐大家买一本关于 HTTP协议方面的书籍进行阅读，因为，只有越接近底层，才能越了解它。最后从方方面面进行绕过。

有编程功底的，可以思考一下WAF的编写方式，哪里容易出现漏洞等~比如我们常常用来截断文件的%00，在安全狗中却能截断安全狗对HTTP协议的检测。比如菜刀过狗时，EVAL%00（）是不会被杀的！不要只靠别人！思路是你自己的！你学到的知识也是属于你自己的！

waf,bypass

广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！

评论“WAF的正确bypass”

暂无评论...

P70系列延期，华为新旗舰将在下月发布

3月20日消息，近期博主@数码闲聊站透露，原定三月份发布的华为新旗舰P70系列延期发布，预计4月份上市。

而博主@定焦数码爆料，华为的P70系列在定位上已经超过了Mate60，成为了重要的旗舰系列之一。它肩负着重返影像领域顶尖的使命。那么这次P70会带来哪些令人惊艳的创新呢？
根据目前爆料的消息来看，华为P70系列将推出三个版本，其中P70和P70 Pro采用了三角形的摄像头模组设计，而P70 Art则采用了与上一代P60 Art相似的不规则形状设计。这样的外观是否好看见仁见智，但辨识度绝对拉满。

更新日志

2024年11月28日

WAF的正确bypass

php中简单的对称加密算法实现

phpcms的分类名称和类别名称的调用

评论“WAF的正确bypass”

P70系列延期，华为新旗舰将在下月发布

更新日志

友情链接