Firewalls umgehen durch Missbrauch von DNS-Verlauf

Tool overview

Dieses Skript wird versuchen, Folgendes zu finden:

die direkte IP-Adresse eines Servers hinter einer Firewall wie Cloudflare, Incapsula, SUCURI ...
einen alten Server, der noch die gleiche (inaktive und nicht gewartete) Website betreibt, die keinen aktiven Traffic erhält, weil der A-DNS-Eintrag nicht auf ihn verweist. Da es sich um eine veraltete und nicht gewartete Version der aktuellen aktiven Website handelt, ist sie wahrscheinlich anfällig für verschiedene Exploits. Es könnte einfacher sein, SQL-Injection zu finden und auf die Datenbank der alten Website zuzugreifen und diese Informationen für die aktuelle und aktive Website zu missbrauchen.

Dieses Skript (miss)braucht DNS-Verlaufsaufzeichnungen. Dieses Skript sucht nach alten DNS-A-Einträgen und prüft, ob der Server für diese Domain antwortet. Es gibt auch ein Konfidenzniveau aus, basierend auf der Ähnlichkeit der HTML-Antwort des möglichen Ursprungsservers und der Firewall.

Das Skript ruft auch die IPs von Subdomains ab, weil meine eigene Erfahrung gezeigt hat, dass Subdomain-IPs manchmal auf den Ursprung der Hauptdomain verweisen.

Verwendung

Verwenden Sie das Skript wie folgt:

bash bypass-firewalls-by-DNS-history.sh -d example.com

-d --domain: Domain, die umgangen werden soll
-o --outputfile: Ausgabedatei mit IPs
-l --listsubdomains: Liste mit Subdomains für zusätzliche Abdeckung
-a --checkall: Alle Subdomains auf einen WAF-Bypass prüfen

Voraussetzungen (optional)

jq wird benötigt, um die Ausgabe zu parsen und automatisch Subdomains zu sammeln. Installation mit apt install jq.

Hintergrundinformationen

Erklärung des WAF-Bypasses

Um zu veranschaulichen, was wir als WAF-Bypass definieren, sehen Sie sich das Schema unten an.

Scheme WAF Bypass

Ein normaler Besucher verbindet sich mit einer Website. Die erste Anfrage ist eine DNS-Anfrage, um die IP der Website zu erfragen, sodass der Browser des Clients weiß, wohin die HTTP-Anfrage gesendet werden soll. Bei Seiten hinter Cloudflare oder einer anderen öffentlichen WAF enthält die Antwort eine IP-Adresse der WAF selbst. Ihr HTTP-Traffic fließt im Grunde durch die WAF zum Ursprungs-Webserver. Die WAF blockiert bösartige Anfragen und schützt vor (D)DoS-Angriffen. Wenn ein Angreifer jedoch die IP des Ursprungs-Webservers kennt und der Ursprungs-Webserver HTTP-Traffic vom gesamten Internet akzeptiert, kann der Angreifer einen WAF-Bypass durchführen: den HTTP-Traffic direkt zum Ursprungs-Webserver leiten, anstatt durch die WAF zu gehen.

Dieses Skript versucht, diese Ursprungs-IP zu finden, sodass Sie sich direkt mit dem Ursprungs-Webserver verbinden können.

Angriffe wie SQL-Injection oder SSRF werden nicht gefiltert und können erfolgreich sein, im Gegensatz zu einer Situation, in der eine WAF dazwischengeschaltet ist, die diese Art von Angriffen stoppt.

Weiterführende Ausnutzung

Wenn Sie einen Bypass finden, haben Sie zwei Optionen:

Bearbeiten Sie Ihre Hosts-Datei, was eine systemweite Lösung ist. Sie finden Ihre Hosts-Datei unter /etc/hosts(Linux/Mac) oder c:\Windows\System32\Drivers\etc\hosts (Windows). Fügen Sie einen Eintrag wie diesen hinzu: 80.40.10.22 vincentcox.com.
Burp Suite:

Ab diesem Moment geht Ihr HTTP-Traffic direkt zum Ursprungs-Webserver. Sie können einen Penetrationstest wie gewohnt durchführen, ohne dass Ihre Anfragen von der WAF blockiert werden.

Wie schützt man sich gegen dieses Skript?

Wenn Sie eine Firewall verwenden, stellen Sie sicher, dass nur Traffic akzeptiert wird, der durch die Firewall kommt. Lehnen Sie allen Traffic ab, der direkt aus dem Internet kommt. Beispiel: Cloudflare hat eine Liste von IPs, die Sie mit iptables oder UFW auf die Whitelist setzen können. Lehnen Sie allen anderen Traffic ab.
Stellen Sie sicher, dass keine alten Server mehr Verbindungen akzeptieren und erst gar nicht zugänglich sind

Für wen ist dieses Skript?

Dieses Skript ist nützlich für:

Sicherheitsauditoren
Webadministratoren
Bug-Bounty-Jäger
Blackhatter, nehme ich an ¯\_(ツ)_/¯

In diesem Skript verwendete Webdienste

Die folgenden Dienste werden verwendet:

FAQ

Warum in Bash und nicht in Python?

Es begann als ein paar CURL-Einzeiler, wurde zu einem Bash-Skript, der Code wurde immer weiter erweitert, und das Bedauern, Python nicht verwendet zu haben, wuchs entsprechend.

Ich finde mit meinen Tools mehr Subdomains?

Ich weiß. Ich kann nicht erwarten, dass jeder alle diese DNS-Brute-Force- und Auflistungs-Tools installiert. Außerdem weiß ich vorher nicht, in welchem Ordner diese Tools abgelegt sind oder unter welchem Alias sie aufgerufen werden. Sie können dennoch Ihre eigene Liste mit -l bereitstellen, um die Ausgabe dieser Subdomain-Tools in dieses Tool einzuspeisen. Erwartete Eingabe ist eine vollständige Subdomain pro Zeile.

Autor

Projektersteller

bypass-firewalls-by-DNS-history

Beliebteste