干貨|WAF分類及繞過思路 - 網安 - 專業的網絡安全產業、社區、知識平臺

Waf分類：

WAF分為非嵌入型WAF和嵌入型WAF，非嵌入型指的是硬WAF、云WAF、虛擬機WAF之類的；嵌入型指的是web容器模塊類型WAF、代碼層WAF。

Waf工作模式：

關閉模式：對某個站點使用關閉模式，到這個站點的流量就感受不到WAF的存在。一般的做法，是解綁域名，再到web服務上綁定該域名。

監聽模式：既過規則，也會直接傳遞給web服務。

防護模式：直接過規則，不會直接傳遞給web服務

WAF規則引擎原理

WAF無非就是攔截有害請求和偽裝響應，出于性能考慮，攔截有害請求又分為兩個層面，由網絡層攔截和由應用層攔截，且任何請求應該先在網絡層過濾再到應用層過濾。也就是說，規則引擎分為兩塊，對請求過濾和對響應過濾，而對請求過濾分為兩大步，網絡層過濾和應用層過濾。

原理圖大致如下：

詳情參考：https://www.cnblogs.com/realjimmy/p/12937247.html#:~:text=WAF%E5%85%A8%E7%A7%B0%E5%8F%ABWeb,Application%20Firewall%EF%BC%8C%E5%92%8C%E4%BC%A0%E7%BB%9F%E9%98%B2%E7%81%AB%E5%A2%99%E7%9A%84%E5%8C%BA%E5%88%AB%E6%98%AF%EF%BC%8C%E5%AE%83%E6%98%AF%E5%B7%A5%E4%BD%9C%E5%9C%A8%E5%BA%94%E7%94%A8%E5%B1%82%E7%9A%84%E9%98%B2%E7%81%AB%E5%A2%99%EF%BC%8C%E4%B8%BB%E8%A6%81%E5%AF%B9web%E8%AF%B7%E6%B1%82%2F%E5%93%8D%E5%BA%94%E8%BF%9B%E8%A1%8C%E9%98%B2%E6%8A%A4%E3%80%82

Waf工作原理：

WAF工作方式是對接收到的數據包進行正則匹配過濾，如果正則匹配到與現有漏洞知識庫的攻擊代碼相同，則認為這個惡意代碼，從而對于進行阻斷。所以，對于基于規則匹配的WAF，需要每天都及時更新最新的漏洞庫。

Waf工作過程：

解析HTTP請求

對接收到數據請求流量時會先判斷是否為HTTP/HTTPS請求，之后會查看此URL請求是否在白名單之內，如果該URL請求在白名單列表里，直接交給后端Web服務器進行響應處理，對于不在白名單之內的對數據包解析后進入到規則檢測部分。

匹配規則

解析后的數據包會進入到檢測體系中進行規則匹配，檢查該數據請求是否符合規則，識別出惡意攻擊行為。

防御動作

如果符合規則則交給后端Web服務器進行響應處理，對于不符合規則的請求會執行相關的阻斷、記錄、告警處理。

不同的WAF產品會自定義不同的攔截警告頁面，在日常滲透中我們也可以根據不同的攔截頁面來辨別出網站使用了哪款WAF產品，從而有目的性的進行WAF繞過。

記錄日志

Waf繞過

Waf攔截會出現在安全測試的各個層面，掌握各個層面的分析和繞過技術最為關鍵。

信息搜集

繞過分析：抓包技術、waf說明、FUZZ測試繞過手法：  數據包特征：請求方式、模擬用戶、爬蟲引擎、白名單機制  請求速度：延時（阿里3秒）、代理池、爬蟲引擎、白名單機制

漏洞發現

工具：綜合：awvs、xray、appscan單點：tpscan、wpscan、st2can觸發：掃描速度：延時、代理池、白名單工具指紋：特征修改、模擬用戶漏洞payload：數據變異、冷門掃描

漏洞利用

Sql注入、文件上傳、xss跨站、文件包含、RCE執行
Sql注入：如需sgImap注入  修改us頭及加入代理防cc攔截自寫tamper模塊安全狗：參考之前payloadAliyun：基本修改指紋即可 寶塔：匹配關鍵字外加/*等aglmap --proxy="http://127.0.0.1:8080"  --tamper="waf.py"   --.random-agent

#文件上傳 php截斷參考前面上傳waf繞過payload

#xss跨站利用xsstrike繞過 加上--timeout或--proxy繞過cchttps://www.freebuf.com/sectool/142044.html
其他集合RCE：加密加碼繞過？算法可逆？關鍵詞繞過？提交方法？各種測試！ex=sy=ser_replace ('', ,, 'pahpxinxfo() '); assert (sy) ; asubmit32648F90E49BAA4文件包含：沒什么好說的就這幾種 .\ .../ ..等
權限控制：  腳本：asp、php、jsp、aspx、py、war等  工具：菜刀、蟻見、冰蝎代碼：加密混淆、變量覆蓋、異或生成行為：指紋變異、自寫輪子檢測：常規安全腳本工具使用

異或免殺生成工具：webshell-venmon-master