云WAF绕过之文件上传漏洞BASS技术分享

巨大文件名称绕过

Content-Disposition:form-data;name=”file”;filename=”1.a.a.a.不要再忽视我的总长度.a.jsp

content-type绕过

前端开发js绕过，知道都懂，普通图片马，burp改后缀。

脏空格符绕过

主要用于硬件设备WAF

硬件设备waf与云waf和软件waf的区别依然须要依靠自己经历了，软件waf一般阻止都是有1个基本特征网页页面，比如网站安全狗的那条狗，d盾的盾，最不太好区别的便是云waf与硬件设备waf，这绝大多数须要依靠自己经历判断。

硬件设备WAF会出现脏空格符绕过呢，数据文件过大损耗运行内存，为了更好地防止干扰服务而放行，自然这也是有概率的哈，怎么才能提升 概率呢？intruder提供无限潜能，惟一缺点，我计算机一跑非常容易卡死。

自然WAF越贵越超棒，来源于钱财的能量，针对脏空格符技术参数添充的位置，from-data后边，或是，信息脏空格符绕，自然信息脏空格符绕过依然须要考虑考虑语言注解符比较常见如jspphp/**/，当waf检查信息数据文件过大时，很有可能会放行，概率问题，运气差，外出都摔倒的人依然别测了，踏踏实实变成1个绝情的干饭机器吧。

云WAF绕过

云WAF：比较常见腾讯云服务WAF云锁。。。多的很。怎样绕过？最先我们须要了解云WAF的运行基本原理云waf，WEB应用防火墙的云方法，这类方法让客户不用在自个的互联网中安装软件系统或布署硬件设备设备，就可以对网站实行安全防护，它的具体完成方法是运用DNS技术，根据交接域名指向权来完成安全防护。客户的请求最先发送至云空间网络节点开展检查，如存有异常请求则开展阻止不然将请求发送至实际服务器。特别注意点：具体完成方法是运用DNS域名指向技术。一部分可根据搜索实际ip绕过。软件WAF软waf比如网站安全狗，D盾类似的软件，针对这类呢，大部分是配对规则库开展阻止。网络上还有许多好文章，极力推荐先知好文章贼棒啊。