Objectif : Point d'entrée combiné pour l'inventaire ainsi qu'un mode PoC séparé.

Exemples d'exécution :

Remarque importante : Le contrôle basé sur le temps et le mode PoC ne doivent être utilisés que contre des systèmes pour lesquels une autorisation de test explicite a été accordée. Le mode d'inventaire normal n'utilise que des opérations WFS régulières.

Prérequis

• Python 3.10 ou plus récent
• Aucun paquet Python supplémentaire ; les deux scripts n'utilisent que la bibliothèque standard
• Accès réseau au point de terminaison WFS

Rendre facultativement exécutable :

Démarrage rapide

Rechercher des candidats via des requêtes WFS régulières

Le chemin standard /geoserver/wfs est ajouté automatiquement. Les indications suivantes sont donc équivalentes :

En cas d'installation différente, le chemin WFS complet doit être spécifié.

Vérifier les candidats avec un contrôle basé sur le temps

Uniquement pour les systèmes explicitement autorisés :

Pendant le contrôle, une mesure par candidat apparaît sur stderr :

Un écran réussi n'est pas encore un résultat positif. Ce n'est que si la deuxième mesure, plus longue, réussit également qu'un bloc de paramètres est émis.

Écrire le diagnostic dans un fichier

--valid-diagnose FILE active automatiquement le diagnostic détaillé et l'écrit dans le fichier spécifié.

Déroulement du mode automatique

Le mode standard auto traite les informations WFS dans cet ordre :

1. GetCapabilities est ouvert une fois :

   root@kitploit:~

   /geoserver/wfs?service=WFS&acceptVersions=2.0.0&request=GetCapabilities
   

2. La réponse XML est diffusée en continu. Dès qu'un FeatureType/Name est trouvé, le prochain typeName est déterminé.

3. Pour cette couche, DescribeFeatureType est immédiatement exécuté avec version=2.0.0.

4. Le script extrait les éléments XSD et sélectionne les champs chaîne/JSON avec un nom ressemblant à un ID ou à un numéro.

5. Le candidat est vérifié en fonction de l'appel :

   • Sans --sleep : les valeurs d'échantillon doivent être du JSON syntaxiquement valide.
   • Avec --sleep N : une requête de contrôle et une requête de vérification basée sur le temps sont mesurées. La vérification de la valeur JSON est alors ignorée.

6. Le résultat est immédiatement émis et vidé.

7. Ce n'est qu'ensuite que le typeName suivant est lu depuis la réponse GetCapabilities en cours.

Ainsi, une grande réponse GetCapabilities n'a pas besoin d'être entièrement traitée avant que le premier résultat n'apparaisse.

Critères pour les candidats de champ

Sans --sleep, le mode automatique prend en compte par défaut les champs chaîne/JSON avec un nom ressemblant à un ID ou à un numéro.

Avec --sleep, --candidate-scope auto utilise en revanche tous les champs simples non géométriques. Le type XSD et le modèle de nom d'ID ne bloquent alors plus le contrôle de synchronisation. Cela évite les faux négatifs pour les types XSD numériques, date/booléen ou spécifiques au fabricant.

Les modèles de noms reconnus incluent :

Lors du contrôle basé sur le temps, le nom de champ doit en outre être un identifiant simple au format [A-Za-z_][A-Za-z0-9_]*.

Différence entre la vérification JSON et la vérification par sommeil

Sans --sleep, on vérifie si les valeurs observées peuvent être interprétées syntaxiquement comme du JSON. C'est pourquoi, par exemple, la chaîne "383205" est également considérée comme un candidat, car son contenu représente un nombre JSON valide. Cette vérification est une heuristique et non une preuve de vulnérabilité.

Avec --sleep 1, seule la mesure du temps décide. Un candidat est considéré comme positif par défaut si la requête de vérification nécessite au moins 70 pour cent du temps de sommeil demandé en plus par rapport à la requête de contrôle. --timing-result-type auto vérifie d'abord resultType=hits et, en cas de résultat négatif, ensuite resultType=results.

Les mesures provisoirement positives sont obligatoirement confirmées avec un temps de sommeil plus long. Sans --confirm-sleep explicite, le script utilise max(3, --sleep * 3), limité à 10 secondes. Ainsi, un pic de latence unique avec --sleep 1 ne conduit plus à vulnerable=true.

Sortie compacte

La sortie standard contient un bloc par couche valide :

parameter_stringN contient le point de terminaison WFS normalisé et les valeurs appropriées pour --typename et --field_name.

--valid-fields N compte les blocs de couches, pas les champs individuels. S'il existe moins de N couches valides, le reste du catalogue est examiné plus avant. Avec --max-layers, la durée d'exécution maximale peut être limitée.

Diagnostic détaillé

Les options --diagnose ou --valid-diagnose FILE ajoutent entre autres :

• le point de terminaison WFS normalisé,
• l'URL GetCapabilities utilisée,
• l'URL DescribeFeatureType,
• les types de champs XSD,
• les marqueurs d'ID et d'utilisabilité,
• le nombre d'échantillons vérifiés,
• la compatibilité JSON ou les valeurs de mesure de synchronisation,
• l'URL GetFeature générée et
• les chaînes de paramètres copiables.

Exemple :

Autres modes d'inventaire

Lister toutes les couches

Limiter à un espace de noms :

Afficher les champs XSD d'une couche

Chaque champ est émis sous forme d'objet JSON avec le nom, le type XSD, nillable, id_candidate et usable_property.

Exporter les valeurs des champs sélectionnés

Exporter toutes les propriétés :

Avec --unique, les combinaisons identiques de valeurs de champs sélectionnées ne sont émises qu'une seule fois.

Paramètres de wfs_inventory.py

Point d'entrée combiné

geoserver_sqli_working.py peut appeler directement la fonction d'inventaire. Dès que --valid-fields est spécifié, seul l'inventaire est exécuté et le programme se termine ensuite.

Inventaire via le script combiné

Les paramètres suivants sont transmis en interne à wfs_inventory.py :

Sans --sleep explicite, le contrôle basé sur le temps reste désactivé en mode inventaire.

Mode PoC séparé

Uniquement pour les systèmes de test explicitement autorisés :

En mode PoC, le chemin cible n'est pas normalisé automatiquement. Ici, le point de terminaison WFS complet doit être spécifié.

Le mode exécute d'abord un test de référence/sommeil, teste ensuite les variantes Oracle basées sur le temps existantes et, en cas de confirmation réussie, lit par défaut les métadonnées du serveur/base de données. Avec --query, une requête scalaire personnalisée peut être spécifiée à la place.

Le mode PoC désactive actuellement la vérification du certificat TLS en interne. Pour un inventaire pur, wfs_inventory.py doit être préféré, car TLS y est vérifié par défaut.

Paramètres de geoserver_sqli_working.py

Rapport JSONL

Le mode automatique peut générer des lignes JSON au lieu de blocs de texte :

Avec --diagnose, chaque enregistrement contient en outre des URL, des métadonnées de candidats, des valeurs de vérification et des URL GetFeature spécifiques aux champs.

Proxy et TLS

Utiliser un proxy :

Approuver son propre CA de proxy :

Désactiver la vérification TLS pour un système de test autorisé :

--proxy-ca et --insecure ne peuvent pas être utilisés ensemble.

Grands catalogues WFS et performances

Pour les grandes réponses GetCapabilities, les options suivantes aident :

Remarques :

• GetCapabilities n'est demandé qu'une seule fois puis diffusé en continu.
• --valid-fields 4 ne termine l'analyse qu'après quatre couches valides. S'il existe moins de résultats, la recherche se poursuit jusqu'à la fin ou jusqu'à --max-layers.
• --sample-size 1 réduit l'effort de l'heuristique JSON.
• En mode sommeil, l'échantillon JSON est ignoré. Une requête de contrôle et une requête de vérification sont effectuées par chemin de requête. Avec --timing-result-type auto, deux requêtes results supplémentaires sont exécutées après un résultat hits négatif.
• Un candidat provisoirement positif provoque deux requêtes supplémentaires pour la confirmation à l'échelle. Ce n'est qu'ensuite qu'il est considéré comme vulnérable.
• --candidate-scope id réduit le nombre de requêtes de synchronisation, mais peut omettre des champs vulnérables avec d'autres noms.
• --namespace et --start-layer-index peuvent en outre limiter l'espace de recherche.

Dépannage

The read operation timed out

• Augmenter --timeout si le serveur répond lentement.
• Définir --retries 0 pour éviter de longues nouvelles tentatives.
• Utiliser --max-layers et --namespace.
• Pour l'heuristique JSON, utiliser --sample-size 1.

Aucune sortie

• Sans --sleep, les candidats doivent réussir la vérification XSD/nom et la vérification de syntaxe JSON selon --candidate-scope.
• Avec --sleep, seuls les candidats confirmés dans le temps sont émis comme bloc de paramètres ; les mesures négatives apparaissent comme [sleep-check] sur stderr.
• S'il existe moins de résultats que le nombre souhaité, l'analyse peut continuer longtemps. Dans ce cas, définir --max-layers.

Cannot do natural order without a primary key

Pour la première page GetFeature, le script n'envoie pas startIndex=0, car certaines couches GeoServer/JDBC sans clé primaire imposent déjà un tri naturel de cette manière. Lors de l'exportation de pages supplémentaires, une telle couche peut néanmoins nécessiter une clé primaire ou un tri pris en charge côté serveur.

schema does not define ...Type

Le script prend en compte à la fois le <LayerName>Type habituel et un complexType différent, référencé dans l'élément de couche XSD global ou anonyme. Si l'erreur persiste, la réponse DescribeFeatureType concernée doit être vérifiée avec --diagnose.

HTTP 400 lors de la vérification des échantillons

Le message d'erreur OWS complet est émis sur stderr. Les causes fréquentes sont des propriétés non prises en charge, des spécifications de pagination côté serveur ou une configuration de source de données spécifique à la couche.

Aide directement dans le terminal