Évaluation rapide du WAF par le « docteur paranoïaque »

WAFPARAN01D3

L'outil de test du niveau de paranoïa des pare-feu d'applications Web.
— De alt3kx.github.io

Introduction aux niveaux de paranoïa

En substance, le niveau de paranoïa (PL) vous permet de définir le degré d'agressivité du Core Rule Set.
Référence : https://coreruleset.org/20211028/working-with-paranoia-levels/

Comment ça fonctionne

• Le script python3 wafparan01d3.py envoie des requêtes malveillantes à l'aide de charges utiles encodées placées dans différentes parties des requêtes HTTP, en se basant sur les paramètres GET. Les résultats de l'évaluation sont consignés dans le fichier journal de débogage wafparan01d3.log créé sur votre machine.
• Observez le comportement et la réponse pour chaque niveau de paranoïa du WAF en configurant différentes attaques ou charges utiles à l'aide du niveau de configuration par défaut.
• La PoC ci-dessous fournit l'installation et la configuration de base à partir de zéro, et permet de réutiliser le WAF actuellement déployé en définissant un « Mock » de base et en simulant le backend.
• La charge utile par défaut disponible est nommée mysql_gosecure.txt, en référence à la recherche « A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection » de gosecure, disponible ici https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/ évaluant nos WAF utilisant modsecurity à leurs différents niveaux de paranoïa, que ce soit dans une configuration par défaut ou en désactivant différentes règles / ID de manière échelonnée et rapide.

Approche

• Pentesters : périmètre GreyBox avec accès limité à la machine Linux du WAF via un « shell » disposant des privilèges pour démarrer/recharger et modifier les fichiers de configuration Apache du WAF sur les environnements DEV/STG/TEST, en envoyant différentes charges utiles.
  
• Security Officers : prenez la meilleure décision quant au niveau de paranoïa du WAF à appliquer pour chaque solution de votre organisation.
  
• Blueteamers : application des règles, meilleure alerte, moins de faux positifs dans votre organisation.
  
• Integrators : effectuez un dépannage plus approfondi et définissez rapidement le niveau de paranoïa adéquat du WAF en personnalisant les règles ou en créant des correctifs virtuels.
  

Preuve de concept : basée sur Ubuntu 20.04.3 et OWASP Core Rule Set (CRS) v3.3.2

Référence : https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

Installation initiale

1. Mettez à jour les dépôts logiciels :
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. Installez les paquets essentiels :
   

$ sudo apt-get install build-essential -y

3. Installez apache2 pour Ubuntu (s'il n'est pas déjà installé) :
   

$ sudo apt-get install apache2 -y

4. Téléchargez et installez le module Apache ModSecurity :
   

$ sudo apt install libapache2-mod-security2 -y

5. Installez curl pour Ubuntu (s'il n'est pas déjà installé) :
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Redémarrez le service Apache :
   

$ sudo systemctl restart apache2

7. Assurez-vous que la version du logiciel installé est au moins 2.9.x :
   

$ sudo apt-cache show libapache2-mod-security2

Configuration de ModSecurity

1. Copiez et renommez le fichier :
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

Ensuite, changez le mode de détection de ModSecurity. Tout d'abord, déplacez-vous dans le dossier cd /etc/modsecurity
2. Modifiez le fichier de configuration de ModSecurity avec vi, vim, emacs ou nano.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. En haut du fichier, vous verrez SecRuleEngine DetectionOnly. Remplacez DetectionOnly par On.
   

Valeur d'origine : SecRuleEngine DetectionOnly
Nouvelle valeur : SecRuleEngine On

4. Enregistrez les modifications.
   
5. Redémarrez Apache :
   

$ sudo systemctl restart apache2

Téléchargement de l'OWASP Core Rule Set

1. Téléchargez la dernière version du CRS depuis CoreRuleSet.org/installation
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. Vérifiez la somme de contrôle, assurez-vous qu'elle correspond à celle publiquement disponible ici : https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. Décompressez le fichier zip.
   

$ unzip v3.3.2.zip

4. Déplacez le fichier d'installation du CRS depuis le nouveau répertoire vers votre répertoire ModSecurity :
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (Facultatif mais recommandé) Déplacez le répertoire rules depuis le nouveau répertoire vers votre répertoire ModSecurity :
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. Modifiez votre fichier Apache security2.conf pour garantir le chargement des règles ModSecurity :
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>