Proxy / WAF Protections Bypass
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fpentest.eu%2FRENDER_WebSec_10fps_21sec_9MB_29042024.gif&width=768&dpr=4&quality=100&sign=bc0743d1&sv=1)
Bypass Nginx ACL Rules with Pathname Manipulation
Técnicas de esta investigación.
Ejemplo de regla Nginx:
Para prevenir bypasses, Nginx realiza la normalización de rutas antes de verificarla. Sin embargo, si el servidor backend realiza una normalización diferente (eliminando caracteres que Nginx no elimina), podría ser posible eludir esta defensa.
NodeJS - Express
Versión de Nginx | Caracteres de Bypass de Node.js |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
Flask
Versión de Nginx | Caracteres de Bypass de Flask |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
Spring Boot
Versión de Nginx | Caracteres de Bypass de Spring Boot |
1.22.0 |
|
1.21.6 |
|
1.20.2 |
|
1.18.0 |
|
1.16.1 |
|
PHP-FPM
Configuración de Nginx FPM:
Nginx está configurado para bloquear el acceso a /admin.php
, pero es posible eludir esto accediendo a /admin.php/index.php
.
Cómo prevenir
Bypass Mod Security Rules
Confusión de Ruta
En esta publicación se explica que ModSecurity v3 (hasta 3.0.12), implementó incorrectamente la variable REQUEST_FILENAME
que se suponía debía contener la ruta accedida (hasta el inicio de los parámetros). Esto se debe a que realizó una decodificación de URL para obtener la ruta.
Por lo tanto, una solicitud como http://example.com/foo%3f';alert(1);foo=
en mod security supondrá que la ruta es solo /foo
porque %3f
se transforma en ?
finalizando la ruta de la URL, pero en realidad la ruta que un servidor recibirá será /foo%3f';alert(1);foo=
.
Las variables REQUEST_BASENAME
y PATH_INFO
también se vieron afectadas por este error.
Algo similar ocurrió en la versión 2 de Mod Security que permitió eludir una protección que impedía a los usuarios acceder a archivos con extensiones específicas relacionadas con archivos de respaldo (como .bak
) simplemente enviando el punto codificado en URL como %2e
, por ejemplo: https://example.com/backup%2ebak
.
Bypass AWS WAF ACL
Encabezado Malformado
Esta investigación menciona que era posible eludir las reglas de AWS WAF aplicadas sobre encabezados HTTP enviando un encabezado "malformado" que no fue analizado correctamente por AWS, pero sí por el servidor backend.
Por ejemplo, enviando la siguiente solicitud con una inyección SQL en el encabezado X-Query:
Fue posible eludir AWS WAF porque no entendía que la siguiente línea es parte del valor del encabezado, mientras que el servidor NODEJS sí lo hacía (esto fue corregido).
Bypass genéricos de WAF
Límites de tamaño de solicitud
Comúnmente, los WAF tienen un cierto límite de longitud de solicitudes para verificar y si una solicitud POST/PUT/PATCH supera este límite, el WAF no revisará la solicitud.
Para AWS WAF, puedes consultar la documentación:
Tamaño máximo de un cuerpo de solicitud web que puede ser inspeccionado para las protecciones de Application Load Balancer y AWS AppSync | 8 KB |
Tamaño máximo de un cuerpo de solicitud web que puede ser inspeccionado para las protecciones de CloudFront, API Gateway, Amazon Cognito, App Runner y Verified Access** | 64 KB |
Los firewalls de aplicaciones web más antiguos con Core Rule Set 3.1 (o inferior) permiten mensajes más grandes de 128 KB al desactivar la inspección del cuerpo de la solicitud, pero estos mensajes no serán revisados en busca de vulnerabilidades. Para versiones más nuevas (Core Rule Set 3.2 o más recientes), se puede hacer lo mismo desactivando el límite máximo del cuerpo de la solicitud. Cuando una solicitud excede el límite de tamaño:
Si modo de prevención: Registra y bloquea la solicitud.
Si modo de detección: Inspecciona hasta el límite, ignora el resto y registra si el Content-Length
excede el límite.
De Akamai:
Por defecto, el WAF inspecciona solo los primeros 8KB de una solicitud. Puede aumentar el límite hasta 128KB añadiendo Metadatos Avanzados.
De Cloudflare:
Hasta 128KB.
Ofuscación
Compatibilidad de Unicode
Dependiendo de la implementación de la normalización de Unicode (más información aquí), los caracteres que comparten compatibilidad de Unicode pueden ser capaces de eludir el WAF y ejecutarse como la carga útil prevista. Los caracteres compatibles se pueden encontrar aquí.
Ejemplo
H2C Smuggling
Upgrade Header SmugglingRotación de IP
https://github.com/ustayready/fireprox: Generar una URL de API gateway para usar con ffuf
https://github.com/rootcathacking/catspin: Similar a fireprox
https://github.com/PortSwigger/ip-rotate: Plugin de Burp Suite que utiliza IPs de API gateway
https://github.com/fyoorer/ShadowClone: Un número determinado dinámicamente de instancias de contenedor se activan en función del tamaño del archivo de entrada y el factor de división, con la entrada dividida en fragmentos para ejecución paralela, como 100 instancias procesando 100 fragmentos de un archivo de entrada de 10,000 líneas con un factor de división de 100 líneas.
Bypass de Regex
Se pueden utilizar diferentes técnicas para eludir los filtros de regex en los firewalls. Los ejemplos incluyen alternar mayúsculas y minúsculas, agregar saltos de línea y codificar cargas útiles. Los recursos para los diversos bypass se pueden encontrar en PayloadsAllTheThings y OWASP. Los ejemplos a continuación fueron extraídos de este artículo.
Herramientas
nowafpls: Plugin de Burp para agregar datos basura a las solicitudes para eludir WAFs por longitud
Referencias
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fpentest.eu%2FRENDER_WebSec_10fps_21sec_9MB_29042024.gif&width=768&dpr=4&quality=100&sign=bc0743d1&sv=1)
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated