Быстрая оценка WAF «параноидальным» доктором

WAFPARAN01D3

Инструмент для тестирования уровня паранойи Web Application Firewall.
— От alt3kx.github.io

Введение в уровни паранойи

По сути, уровень паранойи (PL) позволяет определить, насколько агрессивным является базовый набор правил (Core Rule Set).
Ссылка: https://coreruleset.org/20211028/working-with-paranoia-levels/

Как это работает

• Python3-скрипт wafparan01d3.py отправляет вредоносные запросы, используя закодированные полезные нагрузки, размещённые в различных частях HTTP-запросов на основе GET-параметров. Результаты оценки записываются в отладочный файл отчёта wafparan01d3.log, создаваемый на вашей машине.
• Наблюдайте за поведением и ответом для каждого уровня паранойи WAF, задавая различные атаки или полезные нагрузки с помощью уровня конфигурации по умолчанию.
• Приведённый ниже PoC обеспечивает базовую установку и настройку с нуля, а также повторное использование текущего развёрнутого WAF путём настройки базового «Mock» и имитации серверной части (backend).
• Доступная по умолчанию полезная нагрузка называется mysql_gosecure.txt и основана на исследовании «A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection» от gosecure, доступном здесь: https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/. В нём оцениваются наши WAF с использованием ModSecurity на различных уровнях паранойи — как в конфигурации по умолчанию, так и с отключением различных правил / ID поэтапным и быстрым способом.

Подход

• Pentesters: область GreyBox с ограниченным доступом к Linux-хосту WAF с использованием «shell» с привилегиями для запуска/перезагрузки и редактирования конфигурационных файлов WAF Apache в средах DEV/STG/TEST с отправкой различных полезных нагрузок.
  
• Специалисты по безопасности (Security Officers): принимают наилучшее решение о применении уровня паранойи WAF для каждого решения в вашей организации.
  
• Blueteamers: обеспечение соблюдения правил, улучшенные оповещения, меньше ложных срабатываний в вашей организации.
  
• Интеграторы (Integrators): выполняют более глубокую диагностику и быстро определяют адекватный уровень паранойи WAF, настраивая правила или создавая виртуальные патчи.
  

Proof of Concept: на основе Ubuntu 20.04.3 и OWASP Core Rule Set (CRS) v3.3.2

Ссылка: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

Первоначальная установка

1. Обновите программные репозитории:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. Установите необходимые компоненты (Essentials):
   

$ sudo apt-get install build-essential -y

3. Установите apache2 для Ubuntu (если он не установлен):
   

$ sudo apt-get install apache2 -y

4. Загрузите и установите модуль ModSecurity для Apache:
   

$ sudo apt install libapache2-mod-security2 -y

5. Установите curl для Ubuntu (если он не установлен):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Перезапустите службу Apache:
   

$ sudo systemctl restart apache2

7. Убедитесь, что установленная версия программного обеспечения не ниже 2.9.x:
   

$ sudo apt-cache show libapache2-mod-security2

Настройка ModSecurity

1. Скопируйте и переименуйте файл:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

Затем измените режим обнаружения ModSecurity. Сначала перейдите в папку, выполнив cd /etc/modsecurity
2. Отредактируйте файл конфигурации ModSecurity с помощью vi, vim, emacs или nano.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. В верхней части файла вы увидите SecRuleEngine DetectionOnly. Измените DetectionOnly на On.
   

Исходное значение: SecRuleEngine DetectionOnly
Новое значение: SecRuleEngine On

4. Сохраните изменения.
   
5. Перезапустите Apache:
   

$ sudo systemctl restart apache2

Загрузка OWASP Core Rule Set

1. Загрузите последнюю версию CRS с сайта CoreRuleSet.org/installation
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. Проверьте контрольную сумму, убедитесь в её соответствии публично доступной здесь: https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. Распакуйте zip-файл.
   

$ unzip v3.3.2.zip

4. Переместите файл настройки CRS из нового каталога в ваш каталог ModSecurity:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (Необязательно, но рекомендуется) Переместите каталог rules из нового каталога в ваш каталог ModSecurity:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. Отредактируйте файл security2.conf Apache, чтобы убедиться, что он загружает правила ModSecurity:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. Убедитесь, что перечислены и файл конфигурации ModSecurity по умолчанию, и новый файл конфигурации CRS. Путь к первому файлу conf может уже быть включён. Второй путь к файлу должен указывать туда, куда вы переместили каталог /rules.
   
7. Отредактируйте /etc/apache2/apache2.conf
   

$ sudo vim /etc/apache2/apache2.conf

Скопируйте и вставьте следующий код и сохраните его.

# Include list of ports to listen on
Include ports.conf