Propósito: Punto de entrada combinado para el inventario, así como un modo PoC separado.

Ejemplos de ejecución:

Nota importante: La comprobación basada en tiempo y el modo PoC solo deben utilizarse contra sistemas para los que exista una autorización expresa de prueba. El modo de inventario normal utiliza exclusivamente operaciones WFS regulares.

Requisitos previos

• Python 3.10 o superior
• Sin paquetes Python adicionales; ambos scripts usan únicamente la biblioteca estándar
• Acceso de red al endpoint WFS

Opcionalmente, hacerlos ejecutables:

Inicio rápido

Buscar candidatos mediante consultas WFS regulares

La ruta estándar /geoserver/wfs se añade automáticamente. Por tanto, las siguientes indicaciones son equivalentes:

En caso de una instalación diferente, debe especificarse la ruta WFS completa.

Verificar candidatos con una comprobación basada en tiempo

Solo para sistemas expresamente autorizados:

Durante la comprobación aparece una medición por candidato en stderr:

Un screen superado no es aún un hallazgo positivo. Solo si la segunda medición, más larga, también se supera, se emite un bloque de parámetros.

Escribir diagnóstico en un archivo

--valid-diagnose FILE activa automáticamente el diagnóstico detallado y lo escribe en el archivo especificado.

Flujo del modo automático

El modo estándar auto procesa la información WFS en este orden:

1. GetCapabilities se abre una vez:

   root@kitploit:~

   /geoserver/wfs?service=WFS&acceptVersions=2.0.0&request=GetCapabilities
   

2. La respuesta XML se transmite en streaming. En cuanto se encuentra un FeatureType/Name, queda fijado el siguiente typeName.

3. Para esta capa se ejecuta inmediatamente DescribeFeatureType con version=2.0.0.

4. El script extrae los elementos XSD y selecciona campos String/JSON con nombres similares a ID o numéricos.

5. El candidato se comprueba según la invocación:

   • Sin --sleep: los valores de muestra deben ser JSON sintácticamente válido.
   • Con --sleep N: se miden una consulta de control y una consulta de comprobación basada en tiempo. La verificación del valor JSON se omite.

6. El resultado se emite inmediatamente y se vacía el buffer.

7. Solo después se lee el siguiente typeName de la respuesta GetCapabilities en curso.

De este modo, no es necesario procesar completamente una respuesta GetCapabilities grande antes de que aparezca el primer resultado.

Criterios para candidatos de campo

Sin --sleep, el modo automático considera por defecto campos String/JSON con nombres similares a ID o numéricos.

Con --sleep, --candidate-scope auto utiliza en cambio todos los campos simples que no sean de geometría. El tipo XSD y el patrón de nombre de ID ya no bloquean la comprobación de tiempo. Esto evita falsos negativos en tipos XSD numéricos, de fecha/booleano o específicos del fabricante.

Los patrones de nombre reconocidos incluyen, entre otros:

En la comprobación basada en tiempo, el nombre del campo debe ser además un identificador simple con el formato [A-Za-z_][A-Za-z0-9_]*.

Diferencia entre la comprobación JSON y la de sleep

Sin --sleep, se comprueba si los valores observados pueden interpretarse sintácticamente como JSON. Por eso, por ejemplo, la cadena "383205" también se considera candidata, porque su contenido representa un número JSON válido. Esta comprobación es una heurística y no una prueba de vulnerabilidad.

Con --sleep 1, solo decide la medición de tiempo. Un candidato se considera positivo por defecto si la consulta de comprobación requiere al menos un 70 por ciento adicional del tiempo de sleep solicitado en comparación con la consulta de control. --timing-result-type auto comprueba primero resultType=hits y, en caso de resultado negativo, posteriormente resultType=results.

Las mediciones provisionalmente positivas se confirman obligatoriamente con un tiempo de sleep más largo. Sin un --confirm-sleep explícito, el script usa max(3, --sleep * 3), limitado a 10 segundos. Así, un único pico de latencia con --sleep 1 ya no conduce a vulnerable=true.

Salida compacta

La salida estándar contiene un bloque por capa válida:

parameter_stringN contiene el endpoint WFS normalizado y los valores adecuados para --typename y --field_name.

--valid-fields N cuenta bloques de capas, no campos individuales. Si existen menos de N capas válidas, se sigue investigando el catálogo restante. Con --max-layers se puede limitar el tiempo máximo de ejecución.

Diagnóstico detallado

Las opciones --diagnose o --valid-diagnose FILE añaden, entre otros:

• endpoint WFS normalizado,
• URL GetCapabilities utilizada,
• URL DescribeFeatureType,
• tipos de campo XSD,
• marcadores de ID y usabilidad,
• número de muestras comprobadas,
• compatibilidad JSON o valores de medición de tiempo,
• URL GetFeature generada y
• cadenas de parámetros copiables.

Ejemplo:

Otros modos de inventario

Listar todas las capas

Limitar a un namespace:

Mostrar campos XSD de una capa

Cada campo se emite como objeto JSON con nombre, tipo XSD, nillable, id_candidate y usable_property.

Exportar valores de campos seleccionados

Exportar todas las propiedades:

Con --unique, las combinaciones idénticas de valores de campo seleccionados se emiten solo una vez.

Parámetros de wfs_inventory.py

Punto de entrada combinado

geoserver_sqli_working.py puede invocar directamente la función de inventario. En cuanto se especifica --valid-fields, se ejecuta exclusivamente el inventario y el programa finaliza después.

Inventario mediante el script combinado

Internamente se pasan los siguientes parámetros a wfs_inventory.py:

Sin un --sleep explícito, la comprobación basada en tiempo permanece desactivada en el modo de inventario.

Modo PoC separado

Solo para sistemas de prueba expresamente autorizados:

En el modo PoC, la ruta de destino no se normaliza automáticamente. Aquí debe especificarse el endpoint WFS completo.

El modo ejecuta primero una prueba de baseline/sleep, luego prueba las variantes de oracle basadas en tiempo existentes y, tras una confirmación exitosa, lee por defecto metadatos de servidor/base de datos. Con --query puede especificarse en su lugar una consulta escalar propia.

El modo PoC desactiva actualmente la verificación de certificado TLS internamente. Para un inventario puro, debe preferirse wfs_inventory.py, ya que allí TLS se verifica por defecto.

Parámetros de geoserver_sqli_working.py

Informe JSONL

El modo automático puede generar JSON Lines en lugar de bloques de texto:

Con --diagnose, cada registro contiene además URLs, metadatos de candidatos, valores de comprobación y URLs GetFeature específicas de campo.

Proxy y TLS

Usar proxy:

Confiar en CA de proxy propio:

Desactivar verificación TLS para un sistema de prueba autorizado:

--proxy-ca y --insecure no pueden usarse conjuntamente.

Catálogos WFS grandes y rendimiento

Con respuestas GetCapabilities grandes ayudan las siguientes opciones:

Notas:

• GetCapabilities se solicita solo una vez y luego se transmite en streaming.
• --valid-fields 4 finaliza el escaneo solo después de cuatro capas válidas. Si existen menos coincidencias, la búsqueda continúa hasta el final o hasta --max-layers.
• --sample-size 1 reduce el esfuerzo de la heurística JSON.
• En modo sleep se omite la muestra JSON. Por ruta de consulta se realizan una consulta de control y una de comprobación. Con --timing-result-type auto, tras un resultado negativo de hits, se ejecutan además dos consultas results.
• Un candidato provisionalmente positivo provoca dos consultas adicionales para la confirmación escalada. Solo después se considera vulnerable.
• --candidate-scope id reduce el número de consultas de tiempo, pero puede omitir campos vulnerables con otros nombres.
• --namespace y --start-layer-index pueden limitar adicionalmente el espacio de búsqueda.

Solución de problemas

The read operation timed out

• Aumentar --timeout si el servidor responde lentamente.
• Establecer --retries 0 para evitar reintentos largos.
• Usar --max-layers y --namespace.
• Para la heurística JSON, usar --sample-size 1.

Sin salida

• Sin --sleep, los candidatos deben superar la verificación XSD/nombre según --candidate-scope y la verificación de sintaxis JSON.
• Con --sleep, solo los candidatos confirmados temporalmente se emiten como bloque de parámetros; las mediciones negativas aparecen como [sleep-check] en stderr.
• Si existen menos coincidencias de las deseadas, el escaneo puede continuar durante mucho tiempo. En ese caso, establecer --max-layers.

Cannot do natural order without a primary key

Para la primera página GetFeature, el script no envía startIndex=0, ya que algunas capas GeoServer/JDBC sin clave primaria fuerzan una ordenación natural con ello. Al exportar páginas adicionales, dicha capa puede requerir no obstante una clave primaria o una ordenación soportada por el servidor.

schema does not define ...Type

El script considera tanto el habitual <LayerName>Type como un complexType diferente, referenciado en el elemento de capa XSD global o anónimo. Si el error persiste, debe examinarse la respuesta DescribeFeatureType correspondiente con --diagnose.

HTTP 400 en la comprobación de muestras

El mensaje de error OWS completo se emite en stderr. Las causas frecuentes son propiedades no soportadas, especificaciones de paginación del servidor o una configuración de fuente de datos específica de la capa.

Ayuda directamente en el terminal