Zweck: Kombinierter Einstiegspunkt für die Inventur sowie ein separater PoC-Modus.

Ausführbeispiele:

Wichtiger Hinweis: Die zeitbasierte Prüfung und der PoC-Modus dürfen nur gegen Systeme verwendet werden, für die eine ausdrückliche Testfreigabe vorliegt. Der normale Inventurmodus verwendet ausschließlich reguläre WFS-Operationen.

Voraussetzungen

• Python 3.10 oder neuer
• Keine zusätzlichen Python-Pakete; beide Skripte verwenden nur die Standardbibliothek
• Netzwerkzugriff auf den WFS-Endpunkt

Optional ausführbar machen:

Schnellstart

Kandidaten über reguläre WFS-Abfragen suchen

Der Standardpfad /geoserver/wfs wird automatisch ergänzt. Folgende Angaben sind daher gleichwertig:

Bei einer abweichenden Installation muss der vollständige WFS-Pfad angegeben werden.

Kandidaten mit einer zeitbasierten Prüfung verifizieren

Nur für ausdrücklich autorisierte Systeme:

Während der Prüfung erscheint pro Kandidat eine Messung auf stderr:

Ein bestandener Screen ist noch kein positiver Befund. Nur wenn die zweite, längere Messung ebenfalls besteht, wird ein Parameterblock ausgegeben.

Diagnose in eine Datei schreiben

--valid-diagnose FILE aktiviert automatisch die ausführliche Diagnose und schreibt sie in die angegebene Datei.

Ablauf des Auto-Modus

Der Standardmodus auto arbeitet die WFS-Informationen in dieser Reihenfolge ab:

1. GetCapabilities wird einmal geöffnet:

   root@kitploit:~

   /geoserver/wfs?service=WFS&acceptVersions=2.0.0&request=GetCapabilities
   

2. Die XML-Antwort wird gestreamt. Sobald ein FeatureType/Name gefunden wird, steht der nächste typeName fest.

3. Für diesen Layer wird unmittelbar DescribeFeatureType mit version=2.0.0 ausgeführt.

4. Das Skript extrahiert die XSD-Elemente und wählt String-/JSON-Felder mit ID- oder Nummern-ähnlichem Namen aus.

5. Der Kandidat wird abhängig vom Aufruf geprüft:

   • Ohne --sleep: Stichprobenwerte müssen syntaktisch gültiges JSON sein.
   • Mit --sleep N: Eine Kontrollanfrage und eine zeitbasierte Prüfanfrage werden gemessen. Die JSON-Wertprüfung wird dabei übersprungen.

6. Das Ergebnis wird sofort ausgegeben und geflusht.

7. Erst danach wird der nächste typeName aus der laufenden GetCapabilities-Antwort gelesen.

Dadurch muss eine große GetCapabilities-Antwort nicht vollständig verarbeitet werden, bevor das erste Ergebnis erscheint.

Kriterien für Feldkandidaten

Ohne --sleep berücksichtigt der automatische Modus standardmäßig String-/JSON-Felder mit ID- oder Nummern-ähnlichem Namen.

Mit --sleep verwendet --candidate-scope auto dagegen alle einfachen Nicht-Geometriefelder. XSD-Typ und ID-Namensmuster blockieren die Timing-Prüfung dann nicht mehr. Das verhindert False Negatives bei numerischen, Datum-/Boolean- oder herstellerspezifischen XSD-Typen.

Erkannte Namensmuster sind unter anderem:

Bei der zeitbasierten Prüfung muss der Feldname zusätzlich ein einfacher Bezeichner im Format [A-Za-z_][A-Za-z0-9_]* sein.

Unterschied zwischen JSON- und Sleep-Prüfung

Ohne --sleep wird geprüft, ob die beobachteten Werte syntaktisch als JSON interpretiert werden können. Deshalb gilt beispielsweise auch der String "383205" als Kandidat, weil sein Inhalt eine gültige JSON-Zahl darstellt. Diese Prüfung ist eine Heuristik und kein Schwachstellennachweis.

Mit --sleep 1 entscheidet ausschließlich die Zeitmessung. Ein Kandidat gilt standardmäßig als positiv, wenn die Prüfanfrage gegenüber der Kontrollanfrage mindestens 70 Prozent der angeforderten Sleep-Zeit zusätzlich benötigt. --timing-result-type auto prüft zuerst resultType=hits und bei einem negativen Ergebnis anschließend resultType=results.

Vorläufig positive Messungen werden zwingend mit einer längeren Sleep-Zeit bestätigt. Ohne explizites --confirm-sleep verwendet das Skript max(3, --sleep * 3), begrenzt auf 10 Sekunden. Dadurch führt eine einzelne Latenzspitze bei --sleep 1 nicht mehr zu vulnerable=true.

Kompakte Ausgabe

Die Standardausgabe enthält einen Block pro gültigem Layer:

parameter_stringN enthält den normalisierten WFS-Endpunkt und die passenden Werte für --typename und --field_name.

--valid-fields N zählt Layer-Blöcke, nicht einzelne Felder. Wenn weniger als N gültige Layer existieren, wird der restliche Katalog weiter untersucht. Mit --max-layers lässt sich die maximale Laufzeit begrenzen.

Ausführliche Diagnose

Die Optionen --diagnose oder --valid-diagnose FILE ergänzen unter anderem:

• normalisierten WFS-Endpunkt,
• verwendete GetCapabilities-URL,
• DescribeFeatureType-URL,
• XSD-Feldtypen,
• ID- und Nutzbarkeitsmarkierungen,
• Anzahl geprüfter Stichproben,
• JSON-Kompatibilität oder Timing-Messwerte,
• generierte GetFeature-URL und
• kopierbare Parameterstrings.

Beispiel:

Weitere Inventurmodi

Alle Layer auflisten

Auf einen Namespace begrenzen:

XSD-Felder eines Layers anzeigen

Jedes Feld wird als JSON-Objekt mit Name, XSD-Typ, nillable, id_candidate und usable_property ausgegeben.

Werte ausgewählter Felder exportieren

Alle Properties exportieren:

Mit --unique werden identische Kombinationen ausgewählter Feldwerte nur einmal ausgegeben.

Parameter von wfs_inventory.py

Kombinierter Einstiegspunkt

geoserver_sqli_working.py kann die Inventurfunktion direkt aufrufen. Sobald --valid-fields angegeben ist, wird ausschließlich die Inventur ausgeführt und das Programm danach beendet.

Inventur über das kombinierte Skript

Dabei werden intern folgende Parameter an wfs_inventory.py weitergereicht:

Ohne explizites --sleep bleibt die zeitbasierte Prüfung im Inventurmodus deaktiviert.

Separater PoC-Modus

Nur für ausdrücklich autorisierte Testsysteme:

Im PoC-Modus wird der Zielpfad nicht automatisch normalisiert. Hier sollte der vollständige WFS-Endpunkt angegeben werden.

Der Modus führt zunächst einen Baseline-/Sleep-Test aus, testet anschließend die vorhandenen zeitbasierten Oracle-Varianten und liest bei erfolgreicher Bestätigung standardmäßig Server-/Datenbankmetadaten aus. Mit --query kann stattdessen eine eigene skalare Abfrage vorgegeben werden.

Der PoC-Modus deaktiviert derzeit die TLS-Zertifikatsprüfung intern. Für eine reine Inventur sollte bevorzugt wfs_inventory.py verwendet werden, da dort TLS standardmäßig geprüft wird.

Parameter von geoserver_sqli_working.py

JSONL-Bericht

Der Auto-Modus kann statt Textblöcken JSON Lines erzeugen:

Mit --diagnose enthält jeder Datensatz zusätzlich URLs, Kandidatenmetadaten, Prüfwerte und feldspezifische GetFeature-URLs.

Proxy und TLS

Proxy verwenden:

Eigener Proxy-CA vertrauen:

TLS-Prüfung für ein autorisiertes Testsystem deaktivieren:

--proxy-ca und --insecure können nicht gemeinsam verwendet werden.

Große WFS-Kataloge und Performance

Bei großen GetCapabilities-Antworten helfen folgende Optionen:

Hinweise:

• GetCapabilities wird nur einmal angefordert und anschließend gestreamt.
• --valid-fields 4 beendet den Scan erst nach vier gültigen Layern. Existieren weniger Treffer, läuft die Suche bis zum Ende oder bis --max-layers.
• --sample-size 1 reduziert den Aufwand der JSON-Heuristik.
• Im Sleep-Modus wird die JSON-Stichprobe übersprungen. Pro Query-Pfad erfolgen eine Kontroll- und eine Prüfanfrage. Bei --timing-result-type auto werden nach einem negativen hits-Ergebnis zusätzlich zwei results-Anfragen ausgeführt.
• Ein vorläufig positiver Kandidat verursacht zwei weitere Anfragen für die skalierte Bestätigung. Erst danach gilt er als verwundbar.
• --candidate-scope id reduziert die Zahl der Timing-Anfragen, kann aber verwundbare Felder mit anderen Namen auslassen.
• --namespace und --start-layer-index können den Suchraum zusätzlich begrenzen.

Fehlerbehebung

The read operation timed out

• --timeout erhöhen, wenn der Server langsam antwortet.
• --retries 0 setzen, um lange Wiederholungen zu vermeiden.
• --max-layers und --namespace verwenden.
• Für die JSON-Heuristik --sample-size 1 verwenden.

Keine Ausgabe

• Ohne --sleep müssen Kandidaten abhängig von --candidate-scope die XSD-/Namensprüfung und die JSON-Syntaxprüfung bestehen.
• Mit --sleep werden nur zeitlich bestätigte Kandidaten als Parameterblock ausgegeben; negative Messungen erscheinen als [sleep-check] auf stderr.
• Wenn weniger als die gewünschte Anzahl Treffer existiert, kann der Scan lange weiterlaufen. In diesem Fall --max-layers setzen.

Cannot do natural order without a primary key

Für die erste GetFeature-Seite sendet das Skript kein startIndex=0, da einige GeoServer-/JDBC-Layer ohne Primärschlüssel bereits dadurch eine natürliche Sortierung erzwingen. Beim Export weiterer Seiten kann ein solcher Layer trotzdem einen Primärschlüssel oder eine serverseitig unterstützte Sortierung benötigen.

schema does not define ...Type

Das Skript berücksichtigt sowohl den üblichen <LayerName>Type als auch einen abweichenden, im globalen XSD-Layerelement referenzierten oder anonymen complexType. Bleibt der Fehler bestehen, sollte die betreffende DescribeFeatureType-Antwort mit --diagnose geprüft werden.

HTTP 400 bei der Stichprobenprüfung

Die vollständige OWS-Fehlermeldung wird auf stderr ausgegeben. Häufige Ursachen sind nicht unterstützte Properties, serverseitige Paging-Vorgaben oder eine layerspezifische Datenquellenkonfiguration.

Hilfe direkt im Terminal