Contornar firewalls abusando do histórico de DNS

Este script tentará encontrar:

• o endereço IP direto de um servidor atrás de um firewall como Cloudflare, Incapsula, SUCURI ...
• um servidor antigo que ainda está executando o mesmo site (inativo e não mantido), que não recebe tráfego ativo porque o registro DNS A não está apontando para ele. Por ser uma versão desatualizada e não mantida do site atualmente ativo, é provável que seja vulnerável a várias explorações. Pode ser mais fácil encontrar injeções de SQL e acessar o banco de dados do site antigo e abusar dessas informações para usar no site atual e ativo.

Este script (ab)usa registros históricos de DNS. Este script pesquisará registros DNS A antigos e verificará se o servidor responde para esse domínio. Ele também gera um nível de confiança, baseado na similaridade da resposta HTML entre o possível servidor de origem e o firewall.

O script também coleta os IPs de subdomínios porque minha própria experiência me ensinou que os IPs de subdomínios às vezes apontam para a origem do domínio principal.

Uso

Use o script assim:

bash bypass-firewalls-by-DNS-history.sh -d example.com

• -d --domain: domínio a ser contornado
• -o --outputfile: arquivo de saída com IPs
• -l --listsubdomains: lista com subdomínios para cobertura extra
• -a --checkall: Verificar todos os subdomínios para um bypass de WAF

Requisitos (opcional)

jq é necessário para analisar a saída e coletar automaticamente subdomínios. Instale com apt install jq.

Informações de fundo

Explicação do bypass de WAF

Para ilustrar o que definimos como bypass de WAF, veja o esquema abaixo.

Um visitante normal se conecta a um site. A solicitação inicial é uma requisição DNS para perguntar o IP do site, para que o navegador do cliente saiba para onde enviar a requisição HTTP. Para sites atrás do Cloudflare ou outro WAF público, a resposta contém um endereço IP do próprio WAF. Seu tráfego HTTP flui basicamente através do WAF para o servidor web de origem. O WAF bloqueia requisições maliciosas e protege contra ataques (D)DoS. No entanto, se um invasor conhece o IP do servidor web de origem e o servidor web de origem aceita tráfego HTTP de toda a internet, o invasor pode realizar um bypass de WAF: deixar o tráfego HTTP ir diretamente ao servidor web de origem em vez de passar pelo WAF.

Este script tenta encontrar esse IP de origem, para que você possa se conectar diretamente ao servidor web de origem. Ataques como injeções de SQL ou SSRF não são filtrados e podem ser bem-sucedidos, ao contrário de quando há um WAF no meio que impede esse tipo de ataque.

Exploração adicional

Quando você encontrar um bypass, tem duas opções:

• Edite seu arquivo hosts, que é uma solução em todo o sistema. Você pode encontrar seu arquivo hosts em /etc/hosts (Linux/Mac) ou c:\Windows\System32\Drivers\etc\hosts (Windows). Adicione uma entrada como esta: 80.40.10.22 vincentcox.com.
• Burp Suite:

A partir deste momento, seu tráfego HTTP vai diretamente para o servidor web de origem. Você pode realizar um teste de penetração como de costume, sem que suas requisições sejam bloqueadas pelo WAF.

Como se proteger contra este script?

• Se você usa um firewall, certifique-se de aceitar apenas o tráfego que passa pelo firewall. Negue todo o tráfego vindo diretamente da internet. Por exemplo: Cloudflare tem uma lista de IPs que você pode colocar na lista de permissões com iptables ou UFW. Negue todo o resto do tráfego.
• Certifique-se de que nenhum servidor antigo ainda esteja aceitando conexões e que não seja acessível em primeiro lugar.

Para quem é este script?

Este script é útil para:

• Auditores de segurança
• Administradores web
• Caçadores de bug bounty
• Blackhatters, eu acho ¯\_(ツ)_/¯

Serviços web usados neste script

Os seguintes serviços são usados:

• SecurityTrails
• CrimeFlare
• certspotter
• DNSDumpster
• IPinfo
• ViewDNS

FAQ

Por que em Bash e não em Python?

Começou como alguns one-liners de CURL, tornou-se um script bash, estendi o código cada vez mais, e o arrependimento de não usar Python cresceu proporcionalmente.

Eu encontro mais subdomínios com minhas ferramentas?

Eu sei. Não posso esperar que todos instalem todas essas ferramentas de brute-force e enumeração de DNS. Além disso, não sei de antemão em qual pasta essas ferramentas estão localizadas ou sob qual alias são chamadas. Você ainda pode fornecer sua própria lista com -l para alimentar a saída dessas ferramentas de subdomínio neste script. A entrada esperada é um subdomínio completo por linha.

Autor

Tags

bypass de WAF
Bypass de Firewall de Aplicação Web
Histórico de DNS
encontrar IP direto/origem do site