Proxy / WAF Protections Bypass
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fpentest.eu%2FRENDER_WebSec_10fps_21sec_9MB_29042024.gif&width=768&dpr=4&quality=100&sign=bc0743d1&sv=1)
Bypass Nginx ACL Reëls met Padnaam Manipulasie
Tegnieke uit hierdie navorsing.
Nginx reël voorbeeld:
In 'n poging om omseilings te voorkom, voer Nginx padnormalisering uit voordat dit dit nagaan. As die agtergrondbediener egter 'n ander normalisering uitvoer (wat karakters verwyder wat Nginx nie verwyder nie), kan dit moontlik wees om hierdie verdediging te omseil.
NodeJS - Express
Nginx Weergawe | Node.js Omseil Karakters |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
Flask
Nginx Weergawe | Flask Omseil Karakters |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
Spring Boot
Nginx Weergawe | Spring Boot Omseil Karakters |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
PHP-FPM
Nginx FPM konfigurasie:
Nginx is geconfigureer om toegang tot /admin.php
te blokkeer, maar dit is moontlik om dit te omseil deur toegang te verkry tot /admin.php/index.php
.
Hoe om te voorkom
Bypass Mod Security Rules
Pad Verwarring
In hierdie pos word verduidelik dat ModSecurity v3 (tot 3.0.12), die REQUEST_FILENAME
veranderlike onvanpas geïmplementeer het wat veronderstel was om die toeganklike pad (tot die begin van die parameters) te bevat. Dit is omdat dit 'n URL-dekodeer uitgevoer het om die pad te verkry.
Daarom sal 'n versoek soos http://example.com/foo%3f';alert(1);foo=
in mod security veronderstel dat die pad net /foo
is omdat %3f
in ?
omgeskakel word wat die URL-pad beëindig, maar eintlik sal die pad wat 'n bediener ontvang /foo%3f';alert(1);foo=
wees.
Die veranderlikes REQUEST_BASENAME
en PATH_INFO
was ook deur hierdie fout geraak.
Iets soortgelyks het in weergawe 2 van Mod Security gebeur wat 'n beskerming toegelaat het wat verhoed het dat gebruikers toegang tot lêers met spesifieke uitbreidings wat met rugsteunlêers verband hou (soos .bak
) verkry, eenvoudig deur die punt URL-gecodeer in %2e
te stuur, byvoorbeeld: https://example.com/backup%2ebak
.
Bypass AWS WAF ACL
Swak Gevormde Kop
Hierdie navorsing noem dat dit moontlik was om AWS WAF-reëls wat op HTTP-koppe toegepas is, te omseil deur 'n "swak gevormde" kop te stuur wat nie behoorlik deur AWS ontleed is nie, maar wel deur die agtergrondbediener.
Byvoorbeeld, deur die volgende versoek met 'n SQL-inspuiting in die kop X-Query te stuur:
Dit was moontlik om AWS WAF te omseil omdat dit nie verstaan het dat die volgende lyn deel is van die waarde van die kop nie, terwyl die NODEJS-bediener dit wel gedoen het (dit is reggestel).
Generiese WAF omseilings
Versoekgrootte beperkings
Gewoonlik het WAFs 'n sekere lengtegrens van versoeke om te kontroleer, en as 'n POST/PUT/PATCH-versoek daarbo is, sal die WAF die versoek nie kontroleer nie.
Vir AWS WAF kan jy die dokumentasie nagaan:
Maximale grootte van 'n webversoekliggaam wat ondersoek kan word vir Application Load Balancer en AWS AppSync beskermings | 8 KB |
Maximale grootte van 'n webversoekliggaam wat ondersoek kan word vir CloudFront, API Gateway, Amazon Cognito, App Runner, en Verified Access beskermings** | 64 KB |
Van Azure dokumentasie:
Ou Web-toepassing-vuurmure met Core Rule Set 3.1 (of laer) laat boodskappe groter as 128 KB toe deur versoekliggaamondersoek af te skakel, maar hierdie boodskappe sal nie op kwesbaarhede nagegaan word nie. Vir nuwer weergawes (Core Rule Set 3.2 of nuwer) kan dieselfde gedoen word deur die maksimum versoekliggaamgrens te deaktiveer. Wanneer 'n versoek die groottegrens oorskry:
As preventiemodus: Teken die versoek aan en blokkeer dit.
As deteksie-modus: Ondersoek tot die grens, ignoreer die res, en teken aan as die Content-Length
die grens oorskry.
Van Akamai:
Standaard ondersoek die WAF slegs die eerste 8KB van 'n versoek. Dit kan die grens verhoog tot 128KB deur Gevorderde Metadata by te voeg.
Van Cloudflare:
Tot 128KB.
Obfuskaasie
Unicode Kompatibiliteit
Afhangende van die implementering van Unicode normalisering (meer inligting hier), mag karakters wat Unicode kompatibiliteit deel, in staat wees om die WAF te omseil en as die bedoelde payload uit te voer. Kompatible karakters kan hier gevind word.
Voorbeeld
H2C Smuggling
Upgrade Header SmugglingIP Rotation
https://github.com/ustayready/fireprox: Genereer 'n API-gateway-URL om saam met ffuf gebruik te word
https://github.com/rootcathacking/catspin: Soortgelyk aan fireprox
https://github.com/PortSwigger/ip-rotate: Burp Suite-inprop wat API-gateway-IP's gebruik
https://github.com/fyoorer/ShadowClone: 'n Dinamies bepaalde aantal houerinstansies word geaktiveer op grond van die invoer lêergrootte en split faktor, met die invoer in stukke verdeel vir parallelle uitvoering, soos 100 instansies wat 100 stukke van 'n 10,000-lyn invoer lêer met 'n split faktor van 100 lyne verwerk.
Regex Bypasses
Verskillende tegnieke kan gebruik word om die regex-filters op die vuurmure te omseil. Voorbeelde sluit in: afwisselende geval, toevoeging van reëls breek, en kodering van payloads. Hulpbronne vir die verskillende omseilings kan gevind word by PayloadsAllTheThings en OWASP. Die voorbeelde hieronder is uit hierdie artikel getrek.
Tools
nowafpls: Burp-inprop om rommeldata aan versoeke toe te voeg om WAFs deur lengte te omseil
References
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fpentest.eu%2FRENDER_WebSec_10fps_21sec_9MB_29042024.gif&width=768&dpr=4&quality=100&sign=bc0743d1&sv=1)
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated