Назначение: Комбинированная точка входа для инвентаризации, а также отдельный режим PoC.

Примеры запуска:

Важное примечание: Проверка на основе времени и режим PoC должны использоваться только против систем, для которых имеется явное разрешение на тестирование. Обычный режим инвентаризации использует исключительно стандартные операции WFS.

Требования

• Python 3.10 или новее
• Дополнительные Python-пакеты не требуются; оба скрипта используют только стандартную библиотеку
• Сетевой доступ к WFS-конечной точке

Опционально сделать исполняемыми:

Быстрый старт

Поиск кандидатов с помощью стандартных WFS-запросов

Стандартный путь /geoserver/wfs добавляется автоматически. Следующие указания эквивалентны:

При нестандартной установке необходимо указать полный путь WFS.

Проверка кандидатов с помощью проверки на основе времени

Только для явно авторизованных систем:

Во время проверки для каждого кандидата на stderr выводится измерение:

Пройденный screen-тест ещё не является положительным результатом. Только если второе, более длительное измерение также проходит, выводится блок параметров.

Запись диагностики в файл

--valid-diagnose FILE автоматически активирует подробную диагностику и записывает её в указанный файл.

Порядок работы авто-режима

Стандартный режим auto обрабатывает WFS-информацию в следующем порядке:

1. GetCapabilities открывается один раз:

   root@kitploit:~

   /geoserver/wfs?service=WFS&acceptVersions=2.0.0&request=GetCapabilities
   

2. XML-ответ обрабатывается потоково. Как только найден FeatureType/Name, определяется следующий typeName.

3. Для этого слоя немедленно выполняется DescribeFeatureType с version=2.0.0.

4. Скрипт извлекает XSD-элементы и выбирает строковые/JSON-поля с ID- или номероподобным именем.

5. Кандидат проверяется в зависимости от вызова:

   • Без --sleep: выборочные значения должны быть синтаксически корректным JSON.
   • С --sleep N: измеряются контрольный запрос и проверочный запрос на основе времени. Проверка JSON-значений при этом пропускается.

6. Результат немедленно выводится и сбрасывается (flush).

7. Только после этого считывается следующий typeName из текущего GetCapabilities-ответа.

Благодаря этому большой GetCapabilities-ответ не нужно полностью обрабатывать до появления первого результата.

Критерии для полей-кандидатов

Без --sleep автоматический режим по умолчанию учитывает строковые/JSON-поля с ID- или номероподобным именем.

С --sleep режим --candidate-scope auto использует, наоборот, все простые негеометрические поля. XSD-тип и шаблон ID-имени больше не блокируют проверку времени. Это предотвращает ложные отрицательные результаты для числовых, дата/булевых или специфических для производителя XSD-типов.

Распознаваемые шаблоны имён включают:

При проверке на основе времени имя поля дополнительно должно быть простым идентификатором в формате [A-Za-z_][A-Za-z0-9_]*.

Разница между JSON- и sleep-проверкой

Без --sleep проверяется, можно ли интерпретировать наблюдаемые значения синтаксически как JSON. Поэтому, например, строка "383205" также считается кандидатом, поскольку её содержимое представляет собой допустимое JSON-число. Эта проверка является эвристикой и не является доказательством уязвимости.

С --sleep 1 решает исключительно измерение времени. Кандидат по умолчанию считается положительным, если проверочный запрос по сравнению с контрольным требует дополнительно не менее 70 процентов запрошенного времени сна. --timing-result-type auto сначала проверяет resultType=hits, а при отрицательном результате затем resultType=results.

Предварительно положительные измерения обязательно подтверждаются более длительным временем сна. Без явного --confirm-sleep скрипт использует max(3, --sleep * 3), ограниченное 10 секундами. Благодаря этому единичный пик задержки при --sleep 1 больше не приводит к vulnerable=true.

Компактный вывод

Стандартный вывод содержит один блок на каждый допустимый слой:

parameter_stringN содержит нормализованную WFS-конечную точку и подходящие значения для --typename и --field_name.

--valid-fields N считает блоки слоёв, а не отдельные поля. Если существует меньше N допустимых слоёв, остальной каталог продолжает исследоваться. С помощью --max-layers можно ограничить максимальное время выполнения.

Подробная диагностика

Опции --diagnose или --valid-diagnose FILE дополняют вывод, среди прочего:

• нормализованной WFS-конечной точкой,
• используемым GetCapabilities-URL,
• DescribeFeatureType-URL,
• типами XSD-полей,
• ID- и маркерами пригодности,
• количеством проверенных выборок,
• JSON-совместимостью или значениями измерения времени,
• сгенерированным GetFeature-URL и
• копируемыми строками параметров.

Пример:

Дополнительные режимы инвентаризации

Перечислить все слои

Ограничить по namespace:

Отобразить XSD-поля слоя

Каждое поле выводится как JSON-объект с именем, XSD-типом, nillable, id_candidate и usable_property.

Экспорт значений выбранных полей

Экспорт всех свойств:

С помощью --unique идентичные комбинации выбранных значений полей выводятся только один раз.

Параметры wfs_inventory.py

Комбинированная точка входа

geoserver_sqli_working.py может напрямую вызывать функцию инвентаризации. Как только указан --valid-fields, выполняется исключительно инвентаризация, после чего программа завершается.

Инвентаризация через комбинированный скрипт

При этом внутренне следующие параметры передаются в wfs_inventory.py:

Без явного --sleep проверка на основе времени в режиме инвентаризации остаётся отключённой.

Отдельный режим PoC

Только для явно авторизованных тестовых систем:

В режиме PoC целевой путь не нормализуется автоматически. Здесь следует указывать полную WFS-конечную точку.

Режим сначала выполняет базовый/sleep-тест, затем тестирует имеющиеся варианты oracle на основе времени и при успешном подтверждении по умолчанию считывает метаданные сервера/базы данных. С помощью --query вместо этого можно задать собственный скалярный запрос.

Режим PoC в настоящее время внутренне отключает проверку TLS-сертификата. Для чистой инвентаризации предпочтительно использовать wfs_inventory.py, поскольку там TLS проверяется по умолчанию.

Параметры geoserver_sqli_working.py

JSONL-отчёт

Авто-режим может создавать JSON Lines вместо текстовых блоков:

С --diagnose каждая запись дополнительно содержит URL, метаданные кандидатов, значения проверок и GetFeature-URL для конкретного поля.

Прокси и TLS

Использование прокси:

Доверие собственному CA прокси:

Отключение проверки TLS для авторизованной тестовой системы:

--proxy-ca и --insecure нельзя использовать вместе.

Большие WFS-каталоги и производительность

При больших GetCapabilities-ответах помогают следующие опции:

Примечания:

• GetCapabilities запрашивается только один раз и затем обрабатывается потоково.
• --valid-fields 4 завершает сканирование только после четырёх допустимых слоёв. Если совпадений меньше, поиск продолжается до конца или до --max-layers.
• --sample-size 1 снижает затраты на JSON-эвристику.
• В sleep-режиме JSON-выборка пропускается. На каждый путь запроса выполняется один контрольный и один проверочный запрос. При --timing-result-type auto после отрицательного результата hits дополнительно выполняются два results-запроса.
• Предварительно положительный кандидат вызывает два дополнительных запроса для масштабированного подтверждения. Только после этого он считается уязвимым.
• --candidate-scope id сокращает количество запросов времени, но может пропустить уязвимые поля с другими именами.
• --namespace и --start-layer-index могут дополнительно ограничить область поиска.

Устранение неполадок

The read operation timed out

• Увеличить --timeout, если сервер отвечает медленно.
• Установить --retries 0, чтобы избежать длительных повторений.
• Использовать --max-layers и --namespace.
• Для JSON-эвристики использовать --sample-size 1.

Нет вывода

• Без --sleep кандидаты должны пройти проверку XSD/имени и проверку синтаксиса JSON в зависимости от --candidate-scope.
• С --sleep выводятся только подтверждённые по времени кандидаты в виде блока параметров; отрицательные измерения появляются как [sleep-check] на stderr.
• Если совпадений меньше желаемого количества, сканирование может продолжаться долго. В этом случае установить --max-layers.

Cannot do natural order without a primary key

Для первой страницы GetFeature скрипт не отправляет startIndex=0, поскольку некоторые слои GeoServer/JDBC без первичного ключа уже из-за этого принудительно выполняют естественную сортировку. При экспорте дальнейших страниц такой слой всё же может потребовать первичный ключ или поддерживаемую сервером сортировку.

schema does not define ...Type

Скрипт учитывает как обычный <LayerName>Type, так и отличающийся, на который ссылается глобальный XSD-элемент слоя, или анонимный complexType. Если ошибка сохраняется, следует проверить соответствующий DescribeFeatureType-ответ с помощью --diagnose.

HTTP 400 при проверке выборки

Полное сообщение об ошибке OWS выводится на stderr. Частые причины — неподдерживаемые свойства, серверные настройки постраничного вывода или специфическая конфигурация источника данных слоя.

Справка прямо в терминале