pentester-waf-bypass

WAF 绕过与过滤器差异分析

本文用于 CTF、靶场、代码审计和明确授权的安全测试。测试时优先使用 SELECT 1、whoami、alert(1) 等低影响验证载荷，避免破坏数据、写入后门或访问无关敏感信息。

1. 核心分析模型

多数 WAF 绕过源于以下差异：

1. 解码次数差异 — WAF 与后端的解码次数不同
2. 语法解析差异 — WAF 与解释器的语法解析规则不同
3. 规范化差异 — WAF 检查原始请求，后端处理规范化后的请求
4. 检查覆盖差异 — WAF 只检查部分参数、请求体或 Content-Type
5. 匹配模式差异 — 黑名单匹配过于简单
6. 重组可能性差异 — 过滤结果仍能重新组合成危险语句

分析任何过滤器时，按以下链路观察：

原始请求
  ↓
代理服务器解析
  ↓
URL / Unicode / HTML 实体解码
  ↓
WAF 规则匹配
  ↓
Web 框架参数解析
  ↓
应用程序二次处理
  ↓
数据库、Shell、模板引擎或浏览器解释

绕过测试的重点是确定：

• WAF 检查的是原始值还是解码后的值
• 请求会经历几次解码
• 大小写是否统一
• 注释和空白是否规范化
• 重复参数取第一个、最后一个还是全部
• 后端最终执行的字符串是什么

---

2. PHP WAF 绕过

preg_replace 双写绕过（关键技巧）

preg_replace() 会循环替换直到没有匹配为止，但如果关键词被替换后拼出了新的关键词，只会替换内层，外层保留。

核心原理：preg_replace('/NSSCTF/', '', 'NSSNSSCTFCTF') → 删除中间的 NSSCTF → 剩下 NSS + CTF = NSSCTF

通用模板：

假设过滤关键词为 X（如 NSSCTF）
构造输入: X拆成两半, 在中间嵌入完整X
即: X前半 + X + X后半

示例:
过滤 NSSCTF → 输入 NSS + NSSCTF + CTF = NSSNSSCTFCTF
过滤 flag   → 输入 fl + flag + ag = flflagag
过滤 cat    → 输入 ca + cat + t = cacatt
过滤 system → 输入 sys + system + tem = syssystemtem

为什么简单的大小写绕过不适用于 preg_replace：

• preg_replace('/NSSCTF/', '', 'NssCTF') → Nss 不匹配 NSS（无 i 修饰符）→ 原样输出 NssCTF
• NssCTF !== "NSSCTF"（严格比较失败）→ 不通过
• 只有双写绕过才能让替换后恰好得到原始关键词字符串

识别场景：

• 源码含 preg_replace('/关键词/', '', $input) 且需要 $input 替换后等于关键词本身 → 立即用双写绕过
• 不要尝试大小写绕过（替换后不等于原关键词）或编码绕过（编码字符串不等于原关键词）

函数名混淆

• Base64 编码恢复：$f=base64_decode('c3lzdGVt');$f('id');
• 字符串拼接：$f='sys'.'tem';$f('id');
• 可变函数：$a='sys';$b='tem';$a$b('id');

关键字绕过

• 拆分路径：'/va'.'r/ww'.'w/ht'.'ml'
• 注释绕过：sys/**/tem('id');
• 反转字符串：$f=strrev('metsys');$f('id');

---

3. SQL 注入绕过

关键字绕过

• 大小写混合：SeLeCt 代替 SELECT
• 内联注释：S/*!ELECT*/
• 双重编码：%2565 → %65 → e
• 等价函数：GROUP_CONCAT 替代 concat_ws

注释符变体

• -- - 代替 --
• --+ 代替 --
• # 代替 --

---

4. 命令注入绕过

分隔符变体

• 换行符：id\nwhoami
• 管道符：id|whoami
• 逻辑运算：id&&whoami
• 子 shell：$(id) 或 `id`