Valutazione rapida del WAF "paranoid" Doctor

WAFPARAN01D3

Lo strumento di test del livello di paranoia del Web Application Firewall.
— Da alt3kx.github.io

Introduzione ai livelli di paranoia

In sostanza, il livello di paranoia (PL) consente di definire quanto sia aggressivo il Core Rule Set.
Riferimento: https://coreruleset.org/20211028/working-with-paranoia-levels/

Come funziona

• Lo script python3 wafparan01d3.py invia richieste malevole utilizzando payload codificati collocati in diverse parti delle richieste HTTP basate su parametri GET. I risultati della valutazione vengono registrati nel file di debug wafparan01d3.log creato sulla vostra macchina.
• Osservare il comportamento e la risposta per ogni livello di paranoia del WAF impostando diversi attacchi o payload utilizzando il livello di configurazione predefinito.
• La PoC di seguito fornisce l'installazione e la configurazione di base da zero e riutilizza il WAF attualmente distribuito impostando un semplice "Mock" e simulando il backend.
• I payload predefiniti disponibili erano chiamati mysql_gosecure.txt basati sulla ricerca "A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection" di gosecure disponibile qui https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/ valutando i nostri WAF utilizzando modsecurity nei loro diversi livelli di paranoia sia in una configurazione predefinita che disabilitando diverse regole / IDs in modo scaglionato e rapido.

Approccio

• Pentesters: ambito GreyBox con accesso limitato alla macchina Linux del WAF utilizzando una "shell" con privilegi per avviare/ricaricare e modificare i file di configurazione di Apache del WAF in ambienti DEV/STG/TEST inviando diversi payload.
  
• Security Officers: prendere la migliore decisione per applicare il livello di paranoia del WAF per ogni soluzione della vostra organizzazione.
  
• Blueteamers: applicazione delle regole, migliori alert, meno falsi positivi nella vostra organizzazione.
  
• Integrators: eseguire una risoluzione dei problemi più approfondita e definire rapidamente il livello di paranoia del WAF adeguato personalizzando le regole o creando patch virtuali.
  

Prova di concetto: basata su Ubuntu 20.04.3 e OWASP Core Rule Set (CRS) v3.3.2

Riferimento: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

Installazione iniziale

1. Aggiorna i repository del software:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. Installa i pacchetti essenziali:
   

$ sudo apt-get install build-essential -y

3. Installa apache2 per ubuntu (se non è già installato):
   

$ sudo apt-get install apache2 -y

4. Scarica e installa il modulo ModSecurity per Apache:
   

$ sudo apt install libapache2-mod-security2 -y

5. Installa curl per ubuntu (se non è già installato):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Riavvia il servizio Apache:
   

$ sudo systemctl restart apache2

7. Assicurati che la versione del software installato sia almeno 2.9.x:
   

$ sudo apt-cache show libapache2-mod-security2

Configurare ModSecurity

1. Copia e rinomina il file:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

Successivamente, cambia la modalità di rilevamento di ModSecurity. Per prima cosa, spostati nella cartella cd /etc/modsecurity
2. Modifica il file di configurazione di ModSecurity con vi, vim, emacs o nano.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. Vicino all'inizio del file vedrai SecRuleEngine DetectionOnly. Cambia DetectionOnly in On.
   

Valore originale: SecRuleEngine DetectionOnly
Nuovo valore: SecRuleEngine On

4. Salva le modifiche.
   
5. Riavvia Apache:
   

$ sudo systemctl restart apache2

Scaricare OWASP Core Rule Set

1. Scarica l'ultima versione del CRS da CoreRuleSet.org/installation
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. Verifica il checksum, assicurati che corrisponda a quello pubblico disponibile qui: https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. Decomprimi il file zip.
   

$ unzip v3.3.2.zip

4. Sposta il file di configurazione del CRS dalla nuova directory nella tua directory ModSecurity:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (Opzionale ma raccomandato) Sposta la directory rules dalla nuova directory nella tua directory ModSecurity:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. Modifica il file security2.conf di Apache per assicurarti che carichi le regole di ModSecurity:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. Assicurati che sia il file di configurazione predefinito di ModSecurity che il nuovo file di configurazione del CRS siano elencati. Il percorso del primo file di configurazione potrebbe essere già incluso. Il secondo percorso del file dovrebbe essere dove hai spostato la directory /rules.
   
7. Modifica /etc/apache2/apache2.conf
   

$ sudo vim /etc/apache2/apache2.conf

Copia e incolla il seguente codice e salvalo.

# Include list of ports to listen on
Include ports.conf