त्वरित WAF "पैरानॉइड" डॉक्टर मूल्यांकन

WAFPARAN01D3

वेब एप्लिकेशन फ़ायरवॉल पैरानॉइड स्तर परीक्षण उपकरण।
— से alt3kx.github.io

पैरानॉइड स्तरों का परिचय

संक्षेप में, पैरानॉइड स्तर (PL) आपको यह परिभाषित करने की अनुमति देता है कि कोर रूल सेट कितना आक्रामक है।
संदर्भ: https://coreruleset.org/20211028/working-with-paranoia-levels/

यह कैसे काम करता है

• wafparan01d3.py पायथन3 स्क्रिप्ट GET पैरामीटर के आधार पर HTTP अनुरोधों के विभिन्न भागों में रखे एन्कोडेड पेलोड का उपयोग करके दुर्भावनापूर्ण अनुरोध लेती है, मूल्यांकन के परिणाम आपकी मशीन पर बनाई गई रिपोर्ट डीबग फ़ाइल wafparan01d3.log में दर्ज किए जाते हैं।
• डिफ़ॉल्ट कॉन्फ़िग स्तर का उपयोग करके प्रत्येक WAF पैरानॉइड स्तर के लिए अलग-अलग हमलों या पेलोड सेट करते हुए व्यवहार और प्रतिक्रिया का निरीक्षण करें।
• नीचे दिया गया PoC शुरू से बुनियादी इंस्टॉलेशन और कॉन्फ़िगरेशन प्रदान करता है और एक बुनियादी "मॉक" सेट करके वर्तमान में तैनात WAF का पुनः उपयोग करता है तथा बैकएंड का अनुकरण करता है।
• डिफ़ॉल्ट उपलब्ध पेलोड mysql_gosecure.txt कहलाता था, जो gosecure के शोध "A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection" पर आधारित है, जो यहाँ उपलब्ध है https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/ जिसमें हम अपने WAF का modsecurity का उपयोग करके उनके विभिन्न पैरानॉइड स्तरों में मूल्यांकन करते हैं, या तो डिफ़ॉल्ट कॉन्फ़िगरेशन में या विभिन्न नियमों / IDs को चरणबद्ध और त्वरित तरीके से अक्षम करके।

दृष्टिकोण

• पेंटेस्टर्स: WAF लिनक्स बॉक्स तक सीमित पहुंच के साथ ग्रेबॉक्स दायरा, DEV/STG/TEST वातावरणों में विभिन्न पेलोड भेजते हुए WAF Apache कॉन्फ़िग फ़ाइलों को शुरू/पुनः लोड और संपादित करने के विशेषाधिकार वाले "शेल" का उपयोग करना।
  
• सुरक्षा अधिकारी: आपके संगठन में प्रत्येक समाधान के लिए WAF पैरानॉइड का स्तर लागू करने का सर्वोत्तम निर्णय लें।
  
• ब्लूटीमर्स: नियम प्रवर्तन, सर्वोत्तम अलर्टिंग, आपके संगठन में कम गलत-सकारात्मक परिणाम।
  
• इंटीग्रेटर्स: नियमों को त्वरित रूप से अनुकूलित करके या वर्चुअल पैच बनाकर गहन समस्या निवारण करें और WAF पैरानॉइड का उपयुक्त स्तर परिभाषित करें।
  

प्रूफ ऑफ कॉन्सेप्ट: Ubuntu 20.04.3 और OWASP कोर रूल सेट (CRS) v3.3.2 पर आधारित

संदर्भ: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

प्रारंभिक इंस्टॉलेशन

1. सॉफ़्टवेयर रिपॉजिटरी अपडेट करें:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. आवश्यक पैकेज इंस्टॉल करें:
   

$ sudo apt-get install build-essential -y

3. ubuntu के लिए apache2 इंस्टॉल करें (यदि यह इंस्टॉल नहीं है):
   

$ sudo apt-get install apache2 -y

4. ModSecurity Apache मॉड्यूल डाउनलोड और इंस्टॉल करें:
   

$ sudo apt install libapache2-mod-security2 -y

5. ubuntu के लिए curl इंस्टॉल करें (यदि यह इंस्टॉल नहीं है):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Apache सेवा पुनः प्रारंभ करें:
   

$ sudo systemctl restart apache2

7. सुनिश्चित करें कि इंस्टॉल किया गया सॉफ़्टवेयर संस्करण कम से कम 2.9.x है:
   

$ sudo apt-cache show libapache2-mod-security2

ModSecurity कॉन्फ़िगर करें

1. फ़ाइल की कॉपी करें और नाम बदलें:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

अगला, ModSecurity डिटेक्शन मोड बदलें। पहले, cd /etc/modsecurity फ़ोल्डर में जाएं
2. ModSecurity कॉन्फ़िगरेशन फ़ाइल को vi, vim, emacs, या nano से संपादित करें।

$ sudo vim /etc/modsecurity/modsecurity.conf

3. फ़ाइल के शीर्ष के पास, आपको SecRuleEngine DetectionOnly दिखाई देगा। DetectionOnly को On में बदलें।
   

मूल मान: SecRuleEngine DetectionOnly
नया मान: SecRuleEngine On

4. परिवर्तन सहेजें।
   
5. Apache पुनः प्रारंभ करें:
   

$ sudo systemctl restart apache2

OWASP कोर रूल सेट डाउनलोड करें

1. CoreRuleSet.org/installation से नवीनतम CRS डाउनलोड करें
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. चेकसम सत्यापित करें, सुनिश्चित करें कि यह यहाँ सार्वजनिक रूप से उपलब्ध चेकसम से मेल खाता है: https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. ज़िप फ़ाइल को अनकंप्रेस करें।
   

$ unzip v3.3.2.zip

4. CRS सेटअप फ़ाइल को नई निर्देशिका से अपनी ModSecurity निर्देशिका में ले जाएं:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (वैकल्पिक लेकिन अनुशंसित) नियम निर्देशिका को नई निर्देशिका से अपनी ModSecurity निर्देशिका में ले जाएं:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. यह सुनिश्चित करने के लिए अपनी Apache security2.conf फ़ाइल संपादित करें कि यह ModSecurity नियमों को लोड करेगी:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. सुनिश्चित करें कि डिफ़ॉल्ट ModSecurity और नई CRS कॉन्फ़िगरेशन फ़ाइलें दोनों सूचीबद्ध हैं। पहली पंक्ति का conf फ़ाइल पथ पहले से शामिल हो सकता है। दूसरा फ़ाइल पथ वहाँ होना चाहिए जहाँ आपने /rules निर्देशिका को ले जाया है।
   
7. /etc/apache2/apache2.conf संपादित करें
   

$ sudo vim /etc/apache2/apache2.conf

निम्न कोड कॉपी और पेस्ट करें और इसे सहेजें।

# Include list of ports to listen on
Include ports.conf

Include /etc/modsecurity/modsecurity.conf
Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/rules/*.conf