策略误报导致应用保存失败的分析案例

作者：易隐者 发布于：2013-4-20 14:13 Saturday 分类：案例讨论

       某用户应用，需要将一些修改信息提交保存至业务服务器，在这个保存过程中出现无法保存的现象（保存失败，点击保存按钮后，IE页面进度条长时间处于加载状态），我出于帮忙，到用户现场捕获了业务保存时的交互报文，如下图所示：
点击查看原图

       查看这个交互的过程，我们可以非常清晰的看到，客户端与服务器TCP三次握手正常，问题出在客户端提交POST请求的报文被中间设备丢弃了。比较有趣的是，客户端在尝试两次重传之后，较为聪明的将这个POST请求字段（长度为859B）拆分为两个长度分别为536B和323B的字段，并先将长度为536B的应用字段重传给服务器，我们清楚的看到服务器对这个应用字段作出了确认，这说明这个长度的应用字段正常到达了应用服务器，但是后续长度为323B的应用字段一直被丢弃，这很容易想到是中间设备策略误报一直丢弃某些固定报文导致的，我们来看一下这个应用字段里到底封装的是什么应用数据，我们首先看这个报文的应用字段解码如下：

点击查看原图

       这个看得有点头晕，我们将这段字符解码一下，如下图所示：
点击查看原图
       解码之后，我们可以看到这个应用字段中存在“varchar(60)”等关键字，这可能引起WAF、IPS等设备将此报文误报为SQL注入的尝试。

标签: 应用故障 IPS 策略误报 POST WAF SQL注入


您对本文的评分:
当前平均分: 10.0(7 次打分)

版权所有：《蚂蚁网-多维人生，三实而立！》 => 《策略误报导致应用保存失败的分析案例》
本文地址：http://www.vants.org/?post=216
除非注明，文章均为 《蚂蚁网-多维人生，三实而立！》 原创，欢迎转载！转载请注明本文地址，谢谢。

« wireshark过滤器使用注意事项 | 《某公司QQ掉线分析案例》之我见»

评论：

汤露兵
2017-06-13 09:09
咨询下，最近碰到一个问题，在服务器端抓包，发现在三次握手过程中客户端发起syn后服务器端响应了syn+ack，过了1秒后客户端重发syn，服务器也响应了syn+ack，距第一次服务器响应syn+ack1.5秒后服务器重发syn+ack；
回复
易隐者
2017-06-13 09:30
@汤露兵：客户端未收到服务器的syn+ack报文
回复
易隐者
2017-06-13 09:30
@汤露兵：原因可能是报文来回路径不一致，被防火墙丢弃
回复
wzknet
2013-05-03 10:10
最后字符解析也是用Wireshark实现的吗？用的什么工具？
回复
易隐者
2013-05-03 11:28
@wzknet：网上直接搜索，有在线解码的。
回复
易隐者
2013-04-23 22:12
感谢支持。。
回复
Mr.cai
2013-04-22 09:43
收到邮箱咯、来顶一个！！！
回复

发表评论：

Powered by 易隐者 基于emlog 皖ICP备12002343号-1