Evaluación rápida del Doctor WAF "paranoico"

WAFPARAN01D3

La herramienta de prueba del nivel de paranoia del Web Application Firewall.
— De alt3kx.github.io

Introducción a los niveles de paranoia

En esencia, el nivel de paranoia (PL) le permite definir cuán agresivo es el Core Rule Set.
Referencia: https://coreruleset.org/20211028/working-with-paranoia-levels/

Cómo funciona

• El script en Python3 wafparan01d3.py toma solicitudes maliciosas utilizando payloads codificados colocados en diferentes partes de las solicitudes HTTP basadas en parámetros GET. Los resultados de la evaluación se registran en el archivo de depuración wafparan01d3.log creado en su máquina.
• Observe el comportamiento y la respuesta para cada nivel de paranoia del WAF, configurando diferentes ataques o payloads mediante el nivel de configuración predeterminado.
• La PoC que se presenta a continuación proporciona la instalación y configuración básica desde cero, y reutiliza por sí misma el WAF actualmente implementado mediante la creación de un "Mock" básico que simula el backend.
• Los payloads predeterminados disponibles se denominaron mysql_gosecure.txt, basados en la investigación "A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection" de gosecure, disponible aquí https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/, evaluando nuestros WAFs con modsecurity en sus diferentes niveles de paranoia, ya sea en una configuración predeterminada o deshabilitando diferentes reglas/IDs de forma escalonada y rápida.

Enfoque

• Pentesters: alcance GreyBox con acceso limitado a la máquina Linux del WAF, utilizando una "shell" con privilegios para iniciar/recargar y editar los archivos de configuración de Apache del WAF en entornos DEV/STG/TEST, enviando diferentes payloads.
  
• Secutity Officers: tome la mejor decisión para aplicar el nivel de paranoia del WAF a cada solución de su organización.
  
• Blueteamers: aplicación de reglas, mejores alertas y menos falsos positivos en su organización.
  
• Integrators: realice una resolución de problemas más profunda y defina rápidamente el nivel adecuado de paranoia del WAF, personalizando reglas o creando parches virtuales.
  

Prueba de concepto: basada en Ubuntu 20.04.3 y OWASP Core Rule Set (CRS) v3.3.2

Referencia: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

Instalación inicial

1. Actualice los repositorios de software:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. Instale los paquetes esenciales:
   

$ sudo apt-get install build-essential -y

3. Instale apache2 para Ubuntu (si no está instalado):
   

$ sudo apt-get install apache2 -y

4. Descargue e instale el módulo ModSecurity de Apache:
   

$ sudo apt install libapache2-mod-security2 -y

5. Instale curl para Ubuntu (si no está instalado):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Reinicie el servicio de Apache:
   

$ sudo systemctl restart apache2

7. Asegúrese de que la versión del software instalado sea al menos 2.9.x:
   

$ sudo apt-cache show libapache2-mod-security2

Configurar ModSecurity

1. Copie y renombre el archivo:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

A continuación, cambie el modo de detección de ModSecurity. Primero, acceda a la carpeta ejecutando cd /etc/modsecurity
2. Edite el archivo de configuración de ModSecurity con vi, vim, emacs o nano.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. Cerca de la parte superior del archivo verá SecRuleEngine DetectionOnly. Cambie DetectionOnly a On.
   

Valor original: SecRuleEngine DetectionOnly
Nuevo valor: SecRuleEngine On

4. Guarde los cambios.
   
5. Reinicie Apache:
   

$ sudo systemctl restart apache2

Descargar OWASP Core Rule Set

1. Descargue el último CRS desde CoreRuleSet.org/installation
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. Verifique la suma de verificación; asegúrese de que coincida con la disponible públicamente aquí: https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. Descomprima el archivo zip.
   

$ unzip v3.3.2.zip

4. Mueva el archivo de configuración de CRS desde el nuevo directorio a su directorio de ModSecurity:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (Opcional pero recomendado) Mueva el directorio de reglas desde el nuevo directorio a su directorio de ModSecurity:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. Edite su archivo security2.conf de Apache para asegurarse de que cargará las reglas de ModSecurity:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. Asegúrese de que tanto los archivos de configuración predeterminados de ModSecurity como los nuevos de CRS estén listados. La primera línea con la ruta del archivo conf puede ya estar incluida. La segunda ruta debe ser el lugar donde haya movido el directorio /rules.
   
7. Edite /etc/apache2/apache2.conf
   

$ sudo vim /etc/apache2/apache2.conf

Copie y pegue el siguiente código y guárdelo.

# Include list of ports to listen on
Include ports.conf