Proxy / WAF Protections Bypass
Pathname Manipülasyonu ile Nginx ACL Kurallarını Bypass Etme
Bu araştırmadan teknikler.
Nginx kural örneği:
Nginx, atlatmaları önlemek için kontrol etmeden önce yol normalizasyonu yapar. Ancak, arka uç sunucusu farklı bir normalizasyon gerçekleştirirse (nginx'in kaldırmadığı karakterleri kaldırma), bu savunmayı aşmak mümkün olabilir.
NodeJS - Express
Nginx Versiyonu | Node.js Atlatma Karakterleri |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
Flask
Nginx Versiyonu | Flask Atlatma Karakterleri |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
Spring Boot
Nginx Versiyonu | Spring Boot Atlatma Karakterleri |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
PHP-FPM
Nginx FPM yapılandırması:
Nginx, /admin.php
erişimini engelleyecek şekilde yapılandırılmıştır, ancak bu, /admin.php/index.php
erişilerek aşılabilir.
Nasıl önlenir
Mod Security Kurallarını Bypass Etme
Yol Karışıklığı
Bu yazıda ModSecurity v3'ün (3.0.12'ye kadar) erişilen yolu (parametrelerin başlangıcına kadar) içermesi gereken REQUEST_FILENAME
değişkenini yanlış bir şekilde uyguladığı açıklanmaktadır. Bunun nedeni, yolu almak için bir URL çözümlemesi yapmasıdır.
Bu nedenle, mod güvenliğinde http://example.com/foo%3f';alert(1);foo=
gibi bir istek, yolun sadece /foo
olduğunu varsayacaktır çünkü %3f
?
'ye dönüştürülerek URL yolunu sonlandırır, ancak aslında sunucunun alacağı yol /foo%3f';alert(1);foo=
olacaktır.
REQUEST_BASENAME
ve PATH_INFO
değişkenleri de bu hatadan etkilenmiştir.
Mod Security'nin 2. versiyonunda benzer bir durum meydana gelmiş ve yedek dosyalarla ilgili belirli uzantılara sahip dosyalara erişimi engelleyen bir korumayı aşmayı mümkün kılmıştır (örneğin, .bak
gibi) sadece noktayı %2e
ile URL kodlayarak göndererek, örneğin: https://example.com/backup%2ebak
.
AWS WAF ACL'yi Bypass Etme
Bozuk Başlık
Bu araştırma, AWS'nin düzgün bir şekilde ayrıştırmadığı ancak arka uç sunucusu tarafından ayrıştırılan "bozuk" bir başlık göndererek AWS WAF kurallarını aşmanın mümkün olduğunu belirtmektedir.
Örneğin, X-Query başlığında bir SQL enjeksiyonu ile aşağıdaki isteği göndermek:
AWS WAF'ı atlatmak mümkündü çünkü bir sonraki satırın başlığın değeriyle ilgili olduğunu anlamıyordu, oysa NODEJS sunucusu anlıyordu (bu düzeltildi).
Genel WAF atlatmaları
İstek Boyutu Sınırları
Genellikle WAF'lar, kontrol etmek için belirli bir istek uzunluğu sınırına sahiptir ve eğer bir POST/PUT/PATCH isteği bu sınırı aşarsa, WAF isteği kontrol etmez.
AWS WAF için belgelere göz atabilirsiniz:
Uygulama Yük Dengeleyici ve AWS AppSync korumaları için incelenebilecek maksimum web istek gövde boyutu | 8 KB |
CloudFront, API Gateway, Amazon Cognito, App Runner ve Doğrulanmış Erişim korumaları için incelenebilecek maksimum web istek gövde boyutu** | 64 KB |
Eski Web Uygulama Güvenlik Duvarları, Core Rule Set 3.1 (veya daha düşük) ile 128 KB'dan büyük mesajlara izin verir, ancak bu mesajlar zafiyetler için kontrol edilmeyecektir. Daha yeni sürümler (Core Rule Set 3.2 veya daha yenisi) için, maksimum istek gövde sınırını devre dışı bırakarak aynı şey yapılabilir. Bir istek boyut sınırını aşarsa:
Eğer önleme modu: İsteği kaydeder ve engeller.
Eğer tespit modu: Sınır kadar inceler, geri kalanını göz ardı eder ve Content-Length
sınırı aşarsa kaydeder.
Varsayılan olarak, WAF yalnızca bir isteğin ilk 8KB'sini inceler. Gelişmiş Meta Veriler ekleyerek sınırı 128KB'a kadar artırabilir.
128KB'a kadar.
Obfuscation
Unicode Uyumluluğu
Unicode normalizasyonunun uygulanmasına bağlı olarak (daha fazla bilgi burada), Unicode uyumluluğunu paylaşan karakterler WAF'ı atlayabilir ve amaçlanan yük olarak çalıştırılabilir. Uyumlu karakterler burada bulunabilir.
Örnek
H2C Smuggling
Upgrade Header SmugglingIP Rotation
https://github.com/ustayready/fireprox: ffuf ile kullanılmak üzere bir API geçidi URL'si oluşturur
https://github.com/rootcathacking/catspin: fireprox'a benzer
https://github.com/PortSwigger/ip-rotate: API geçidi IP'lerini kullanan Burp Suite eklentisi
https://github.com/fyoorer/ShadowClone: Girdi dosyası boyutuna ve bölme faktörüne dayalı olarak dinamik olarak belirlenen bir dizi konteyner örneği etkinleştirilir; girdi, paralel yürütme için parçalara ayrılır, örneğin 10,000 satırlık bir girdi dosyasından 100 satırlık bir bölme faktörü ile 100 parçayı işleyen 100 örnek.
Regex Bypasses
Farklı teknikler, güvenlik duvarlarındaki regex filtrelerini atlatmak için kullanılabilir. Örnekler arasında büyük/küçük harf değiştirme, satır sonları ekleme ve yükleri kodlama yer alır. Çeşitli atlatma kaynakları PayloadsAllTheThings ve OWASP adreslerinde bulunabilir. Aşağıdaki örnekler bu makaleden alınmıştır.
Araçlar
nowafpls: WAF'ları uzunlukla atlatmak için isteklere gereksiz veri ekleyen Burp eklentisi
Referanslar
Last updated