第3章：高级Web漏洞利用与WAF绕过

章节导读

本章聚焦渗透测试技术专家岗位在高级Web漏洞利用与WAF绕过场景下的面试考核重点。面试官不仅关注你对漏洞原理的掌握，更看重对抗环境下的绕过思维、协议层理解深度以及实战中的调试与排错能力。

公司侧重点

面试官画像

• 技术深度型：喜欢追问HTTP协议细节、编码底层、数据库特性，会现场要求你构造payload并解释每一步。
• 实战型：直接给出一个被WAF拦截的场景，要求你口头演示绕过过程，并说出为何该手法能生效。
• 压力型：连续追问“如果这样不行呢？再试一种方法”，考察应急思维和知识储备广度。

问答卡片1：分块传输绕过WAF注入

面试官考察点：对HTTP协议底层编码理解、分块传输与WAF解析差异的掌握、实际动手能力。

回答框架：

1. 解释分块传输原理：每个分块前有长度字段，WAF通常解析完整body，但分块出现Transfer-Encoding时解析可能出错。
2. 构造恶意分块：将SQL payload拆成多个分块，使WAF无法还原完整语义，但后端解块后正常执行。
3. 演示关键点：使用工具如Burp插件chunked-coding-converter，或手动修改发送原始请求。
4. 说明限制：只适用于使用Transfer-Encoding: chunked的请求，部分CDN会清除该头。

简短示例回答：“我曾在某SRC测试中使用分块传输绕过WAF。正常请求被拦截，我加设Transfer-Encoding: chunked并将payload按字符拆分，例如字段长度写为1，每块只传一个字符，再加上结尾块。WAF只检测到零散字符未触发规则，后端拼接后成功注入，获取到数据库版本。”

可能追问：

• “如果后端是PHP+Apache，分块传输还能用吗？为什么？”
• “如何处理同时有Content-Length和Transfer-Encoding的请求？哪个优先级高？”
• “能否通过分块传输绕过RCE类产品的检测？”

问答卡片2：HPP参数污染绕过检测

面试官考察点：对参数解析机制的理解、不同容器处理多参数时的差异、创造性绕过思维。

回答框架：

1. 定义HPP：在同一请求中发送多个同名参数，不同框架/后端会取第一个、最后一个、拼接或组成数组。
2. 绕过场景：攻击参数被WAF扫描到，但利用前后端解析差异使WAF看到的参数值和后端看到的不同。
3. 举例：Tomcat取最后一个参数，WAF取第一个；或利用参数名大小写绕过特定规则。
4. 与其他手法结合：如配合JSON参数劫持、参数编码。

简短示例回答：“在一次渗透中，目标WAF对id参数有严格过滤。我发送?id=1&id=1 union select 1,2,3，WAF解析到第一个id=1认为是安全值放行，而Tomcat取最后一个id导致注入成功。后来我验证了后端使用getParameterMap时确实取最后一个，成功绕过。”

可能追问：

• “如何确定目标后端使用的是哪个容器（Tomcat/JBoss/WebLogic）并推断参数处理规则？”
• “如果后端将所有同名参数拼接成逗号分隔字符串，如何利用？”
• “HPP在HTTP POST body中是否同样有效？请说明区别。”

问答卡片3：宽字节注入绕过addslashes

面试官考察点：对字符编码与转义机制的理解深度、GBK与UTF-8的区别、实际环境变化。

回答框架：

1. 原理：使用GBK编码时，高字节（如0xbf）后面跟单引号（0x27）会被系统自动转义成0xbf5c，0x5c是反斜杠，而0xbf5c恰好构成一个合法宽字符，使单引号逃逸。
2. 典型payload：?id=%bf%27 或 ?id=%df%27。
3. 现代有效性：需要满足三个条件——数据库连接使用GBK（或兼容GBK的编码）、PHP使用addslashes或magic_quotes（已废弃）、以及查询语句中单引号被转义但宽字节可逃逸。
4. 建议转向：现在网站在UTF-8下居多，可以改用二次注入、编码绕过或利用其他函数。

简短示例回答：“我在一个老CRM系统中遇到注入点，参数被addslashes处理。我确认数据库字符集为GBK后，传入%df%27，addslashes转义后变成%df%5c%27，而%df%5c构成汉字‘縗’，剩下的单引号闭合成功，最终爆出数据。但在新项目中UTF-8已无法利用此方法，需改用其他绕过思路。”

可能追问：

• “如果数据库是GBK但PHP使用mysqli_real_escape_string，宽字节绕过是否仍有效？为什么？”
• “能否用宽字节绕过preg_replace的转义？举例说明场景。”
• “除了GBK，还有哪些编码可能引发类似问题？比如SJIS、BIG5？”

回答框架总结