分享一个AntSword过waf的小技巧1

【AntSword与WAF规避】AntSword是一款广受欢迎的Web管理工具，尤其在渗透测试领域中，它被用于远程控制服务器、执行命令以及上传文件等操作。随着其对multipart的支持，AntSword的灵活性和功能得到了显著增强。然而，在进行这些操作时，可能会遇到Web应用防火墙（WAF）的阻拦，这些防护系统通常会检测并阻止可能的恶意请求。 本文将分享一个利用AntSword绕过基于流量检测的WAF策略的小技巧。一种常见的WAF检测方法是通过识别特定的关键字，如"eval"，该关键字在PHP中常用于执行动态代码。当检测到含有这些关键字的请求时，WAF可能会触发警报或直接阻止请求。 绕过策略的核心在于Base64编码的特性。Base64解码是按每4个字符一组进行的，如果在payload的开头添加任意非Base64编码的字符，将破坏这个4的倍数规则，导致解码过程出错。当WAF尝试解码含有异常字符的Base64字符串时，它会失败并可能忽略整个请求，从而让我们的payload得以通过。 以下是一个JavaScript示例，展示了如何在AntSword中实现这个技巧： ```javascript module.exports = (pwd, data) => { // 生成一个随机字符 var random = String.fromCharCode(Math.floor(Math.random() * 26) + 65); // 原始payload存储在data['_']中 data[pwd] = random + new Buffer(data['_']).toString('base64'); // 删除原有的payload delete data['_']; // 返回处理后的payload数组 return data; } ``` 在这个示例中，`pwd`参数用于传递我们添加随机字符的新payload，而`data['_']`包含原始的Base64编码的payload。随机字符由`Math.random()`生成，并确保在ASCII表的A-Z之间，这样即使被解码，也不会影响PHP代码的执行，因为PHP会忽略掉开头的非Base64字符。 为了进一步提升隐蔽性，可以在请求中加入一些迷惑性的参数，使得恶意请求更难被识别。这种方法虽然不能保证100%成功，但确实增加了绕过WAF的几率，尤其是在面对基于规则的WAF时。 需要注意的是，WAF的防护机制日益复杂，很多现代的WAF系统不仅检查关键字，还会分析请求模式、行为特征等多维度信息。因此，这只是一个基础技巧，实际应用中可能需要结合其他混淆和反检测技术来提高成功率。 了解和掌握如何规避WAF对于网络安全专业人员来说至关重要，这有助于在进行合法测试时减少误报，同时也能帮助提高Web应用的安全防护能力。在实施任何绕过策略时，务必遵守法律法规，并确保所有活动是在授权的测试环境中进行。