Schnelle WAF-„Paranoid“-Evaluierung

WAFPARAN01D3

Das Testwerkzeug für die Paranoia-Stufe von Web Application Firewalls.
— Von alt3kx.github.io

Einführung in die Paranoia-Level

Im Wesentlichen können Sie über die Paranoia-Stufe (PL) festlegen, wie aggressiv das Core Rule Set ist.
Referenz: https://coreruleset.org/20211028/working-with-paranoia-levels/

So funktioniert es

• Das Python3-Skript wafparan01d3.py nimmt bösartige Anfragen mit codierten Payloads entgegen, die in verschiedenen Teilen von HTTP-Anfragen auf der Grundlage von GET-Parametern platziert werden. Die Ergebnisse der Evaluierung werden in der Debug-Berichtsdatei wafparan01d3.log aufgezeichnet, die auf Ihrem Rechner erstellt wird.
• Beobachten Sie das Verhalten und die Antwort für jede WAF-Paranoia-Stufe, indem Sie mit der Standard-Konfigurationsstufe verschiedene Angriffe oder Payloads ausführen.
• Das folgende PoC bietet die grundlegende Installation und Konfiguration von Grund auf und verwendet die derzeit bereitgestellte WAF wieder, indem ein grundlegender „Mock“ eingerichtet und das Backend simuliert wird.
• Die standardmäßig verfügbaren Payloads hießen mysql_gosecure.txt und basieren auf der Forschung „A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection“ von gosecure, verfügbar hier https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/ – damit werden unsere WAFs mit modsecurity in ihren verschiedenen Paranoia-Stufen evaluiert, entweder in einer Standardkonfiguration oder durch Deaktivieren verschiedener Regeln/IDs auf gestaffelte und schnelle Weise.

Ansatz

• Pentesters: GreyBox-Umfang mit begrenztem Zugriff auf die WAF-Linux-Box über eine „Shell“ mit Berechtigungen zum Starten/Neuladen und Bearbeiten der Apache-Konfigurationsdateien der WAF in DEV/STG/TEST-Umgebungen, um verschiedene Payloads zu senden.
  
• Secutity Officers: Treffen Sie die beste Entscheidung, um die WAF-Paranoia-Stufe für jede Lösung in Ihrer Organisation anzuwenden.
  
• Blueteamers: Durchsetzung von Regeln, bestes Alerting, weniger False-Positive-Ergebnisse in Ihrer Organisation.
  
• Integrators: Führen Sie eine tiefergehende Fehlersuche durch und legen Sie die angemessene WAF-Paranoia-Stufe schnell fest, indem Sie Regeln anpassen oder virtuelle Patches erstellen.
  

Proof of Concept: Basierend auf Ubuntu 20.04.3 und OWASP Core Rule Set (CRS) v3.3.2

Referenz: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

Erstinstallation

1. Software-Repos aktualisieren:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. Essentials installieren:
   

$ sudo apt-get install build-essential -y

3. apache2 für Ubuntu installieren (falls nicht installiert):
   

$ sudo apt-get install apache2 -y

4. Das ModSecurity-Apache-Modul herunterladen und installieren:
   

$ sudo apt install libapache2-mod-security2 -y

5. curl für Ubuntu installieren (falls nicht installiert):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Den Apache-Dienst neu starten:
   

$ sudo systemctl restart apache2

7. Sicherstellen, dass die installierte Softwareversion mindestens 2.9.x ist:
   

$ sudo apt-cache show libapache2-mod-security2

ModSecurity konfigurieren

1. Die Datei kopieren und umbenennen:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

Als Nächstes ändern Sie den Erkennungsmodus von ModSecurity. Wechseln Sie zuerst in den Ordner cd /etc/modsecurity
2. Bearbeiten Sie die ModSecurity-Konfigurationsdatei mit vi, vim, emacs oder nano.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. Nahe dem Anfang der Datei sehen Sie SecRuleEngine DetectionOnly. Ändern Sie DetectionOnly in On.
   

Ursprünglicher Wert: SecRuleEngine DetectionOnly
Neuer Wert: SecRuleEngine On

4. Änderungen speichern.
   
5. Apache neu starten:
   

$ sudo systemctl restart apache2

OWASP Core Rule Set herunterladen

1. Laden Sie das neueste CRS von CoreRuleSet.org/installation herunter.
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. Überprüfen Sie die Prüfsumme und stellen Sie sicher, dass sie mit der öffentlich verfügbaren übereinstimmt: https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. Entpacken Sie die Zip-Datei.
   

$ unzip v3.3.2.zip

4. Verschieben Sie die CRS-Setup-Datei aus dem neuen Verzeichnis in Ihr ModSecurity-Verzeichnis:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (Optional, aber empfohlen) Verschieben Sie das rules-Verzeichnis aus dem neuen Verzeichnis in Ihr ModSecurity-Verzeichnis:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. Bearbeiten Sie Ihre Apache-Datei security2.conf, um sicherzustellen, dass sie ModSecurity-Regeln lädt:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. Stellen Sie sicher, dass sowohl die standardmäßige ModSecurity- als auch die neue CRS-Konfigurationsdatei aufgeführt sind. Der Pfad der ersten Konfigurationsdatei ist möglicherweise bereits enthalten. Der zweite Dateipfad sollte dort liegen, wohin Sie das Verzeichnis /rules verschoben haben.
   
7. Bearbeiten Sie /etc/apache2/apache2.conf
   

$ sudo vim /etc/apache2/apache2.conf

Kopieren Sie den folgenden Code, fügen Sie ihn ein und speichern Sie ihn.

# Include list of ports to listen on
Include ports.conf