防火墙一种运行在真正的应用逻辑之前的安全系统，正是因为它无法真正的嵌入到业务里所以天生的会存在缺陷，只不过这种缺陷是大还是小的问题，正常的架构和数据流向如下：

user->CDN->webserver->app->data

出现问题的在app和data这里，但是防火墙尝试在cdn和webserver层去解决安全问题，由于大家对数据的理解是不一致的，譬如以同样的'来说，在cdn里它没有意义，它只是流通的数据，除非解析到http层面它可以变成http请求的一个参数或者其他组成部分，然后到webserver，这个'同样没有实际的价值，它依然是http里的一个数据，真正让这个'有意义的是app里的逻辑，是数据库，是执行命令，是回显到输出，数据一旦变成可以执行的命令漏洞就来了。

由于工作在不同的层面，所以防火墙（你可以理解为防护策略）对同样的数据会有不同的反应，譬如正常的请求是

http://www.wooyun.org/index.php?id=123

如果我们输入

GET /index.php?id=123 union select 1,2,3 from mysql.user HTTP/1.0

HOST: noexist.com

由于工作在cdn层面的防护墙是不会去管一个http请求的真实性的，所以这个请求被拦截（由于是无效的host所以其实不会到真实的webserver，这只是举例说明），典型的如宝

同样如果我们输入

GET /indexabc.php?id=123&abc=union select 1,2,3 from mysql.user HTTP/1.0

HOST: wooyun.org

由于工作在webserver层面的防火墙是不会知道一个请求的有效性的，所以这个请求被拦截（由于这个后端逻辑和参数都是无效的，所以其实这个请求也不会有威胁），典型的如狗

同样如果我们输入

GET /index.php?id=123&abc=union select 1,2,3 from mysql.user HTTP/1.0

HOST: wooyun.org

这个如果不被拦截，那么我们就知道这个是工作在app内部的防火墙了，这个时候就非常难绕过了，基本与程序内部做了过滤是一致的，只能找这个规则的不当之处了.

我们知道了是什么层面的防火墙，那么就可以思考如何绕过了，请持续关注wooyun的zone和drops吧，下次再写。

[原文地址]

相关讨论：

1#

VIP (Fatal error: Call to undefined function getwb() in /data1/www/htdocs/106/wzone/1/index.php on line 10) | 2013-07-14 15:28

学习了

2#

Xhm1n9 | 2013-07-14 15:34

good

3#

无敌L.t.H (:?门安天京北爱我) | 2013-07-14 17:08

/indexabc.php这种有可能被Rewrite，这样也算是一个有效的访问吧？

4#

xsser (十根阳具有长短!!) | 2013-07-14 17:13

@无敌L.t.H 你可以分析系统里没有被rewrite 的

5#

Yaseng (看黄片 到 www.yaseng.me) | 2013-07-14 17:39

好 !

cdn 搞到真实ip 改本地hosts 就彻底废了

6#

陈再胜 (http://t.qq.com/mibboy求收听) | 2013-07-14 17:42

其他看懂了，如宝那段没看懂

7#

xsser (十根阳具有长短!!) | 2013-07-14 17:43

@Yaseng 不只是这样，后续会继续讲绕过方式

8#

楼上是马甲 | 2013-07-14 21:59

能介绍下linux下穿墙就好了