2022年12月9日

爱德华·科瓦奇在08年12月,2022名研究人员在工业和物联网网络安全公司Claroty已经确定了一个通用的方法绕过web应用程序防火墙(waf)的几个主要供应商。Claroty形成层的研究人员发现后的方法分析网络的无线设备管理平台。雷竞技推荐码怎么获得他们发现了一个SQL注入漏洞,可以用来获取敏感信息,比如会话cookie,令牌,SSH密钥和密码散列。本地版本开发工作的缺陷,但试图利用它对云版本被亚马逊网络服务(AWS) WAF的标记和恶意SQL注入有效负载。Claroty研究人员使用JSON的语法起草新SQL注入有效载荷,绕过WAF——因为WAF并不理解它——虽然仍在有效的数据库引擎来解析。他们使用了JSON运营商“@ <”,把WAF扔进一个循环,并允许载荷传递到目标数据库。验证后对AWS WAF旁路方法,研究人员检查它是否会对其他厂商的防火墙。他们成功地再现了旁路,很少或根本没有改变有效载荷,对产品从帕洛阿尔托网络,Cloudflare, F5, Imperva。为了演示与这次袭击有关的风险在现实世界中,Claroty支持技术添加到SQLMap开源开发工具。“我们发现主要供应商的WAF不支持JSON的语法在SQL注入检验过程,让我们预先考虑JSON的语法一个SQL语句,蒙蔽WAF恶意代码,“安全公司解释说。 In response to the research, all of the impacted vendors added JSON syntax support to their products, but Claroty believes other WAFs could be impacted as well. “Attackers using this novel technique could access a backend database and use additional vulnerabilities and exploits to exfiltrate information via either direct access to the server or over the cloud,” Claroty said. “This is especially important for OT and IoT platforms that have moved to cloud-based management and monitoring systems. WAFs offer a promise of additional security from the cloud; an attacker able to bypass these protections has expansive access to systems.”