Обход брандмауэров с помощью истории DNS

Обзор инструмента

Этот скрипт попытается найти:

прямой IP-адрес сервера за брандмауэром, таким как Cloudflare, Incapsula, SUCURI ...
старый сервер, на котором всё ещё работает тот же (неактивный и не поддерживаемый) сайт, не получающий активного трафика, потому что A-запись DNS не указывает на него. Поскольку это устаревшая и необслуживаемая версия текущего активного сайта, она, скорее всего, уязвима для различных эксплойтов. Может быть проще найти SQL-инъекции и получить доступ к базе данных старого сайта, а затем использовать эту информацию на текущем и активном сайте.

Этот скрипт (зло)употребляет записи истории DNS. Он будет искать старые DNS A-записи и проверять, отвечает ли сервер на этот домен. Также он выводит уровень доверия, основанный на сходстве HTML-ответа возможного исходного сервера и брандмауэра.

Скрипт также получает IP-адреса поддоменов, поскольку мой собственный опыт показал, что IP поддоменов иногда указывают на исходный сервер основного домена.

Использование

Используйте скрипт следующим образом:

bash bypass-firewalls-by-DNS-history.sh -d example.com

-d --domain: домен для обхода
-o --outputfile: выходной файл с IP-адресами
-l --listsubdomains: список поддоменов для дополнительного покрытия
-a --checkall: проверить все поддомены на обход WAF

Требования (опционально)

Для разбора вывода и автоматического сбора поддоменов требуется jq. Установите с помощью apt install jq.

Исходная информация

Объяснение обхода WAF

Чтобы проиллюстрировать, что мы понимаем под обходом WAF, посмотрите на схему ниже.

Схема обхода WAF

Обычный посетитель подключается к веб-сайту. Первый запрос — это DNS-запрос для получения IP-адреса сайта, чтобы браузер клиента знал, куда отправлять HTTP-запрос. Для сайтов за Cloudflare или другим публичным WAF ответ содержит IP-адрес самого WAF. Ваш HTTP-трафик проходит через WAF к исходному веб-серверу. WAF блокирует вредоносные запросы и защищает от (D)DoS-атак. Однако, если атакующий знает IP-адрес исходного веб-сервера и исходный веб-сервер принимает HTTP-трафик со всего интернета, атакующий может выполнить обход WAF: направить HTTP-трафик напрямую на исходный веб-сервер, минуя WAF.

Этот скрипт пытается найти этот исходный IP-адрес, чтобы вы могли подключаться напрямую к исходному веб-серверу. Атаки, такие как SQL-инъекции или SSRF, не фильтруются и могут быть успешно выполнены, в отличие от случая, когда между ними стоит WAF, который блокирует подобные атаки.

Дальнейшая эксплуатация

Когда вы находите обход, у вас есть два варианта:

Отредактировать файл hosts (системное решение). Файл hosts находится по пути /etc/hosts (Linux/Mac) или c:\Windows\System32\Drivers\etc\hosts (Windows). Добавьте запись вида: 80.40.10.22 vincentcox.com.
Burp Suite:

С этого момента ваш HTTP-трафик идёт напрямую к исходному веб-серверу. Вы можете проводить тестирование на проникновение как обычно, без блокировки запросов WAF.

Как защититься от этого скрипта?

Если вы используете брандмауэр, разрешайте только трафик, проходящий через брандмауэр. Запретите весь трафик, поступающий напрямую из интернета. Например, у Cloudflare есть список IP-адресов, которые можно добавить в белый список с помощью iptables или UFW. Запретите весь остальной трафик.
Убедитесь, что старые серверы не принимают подключения и вообще недоступны.

Для кого этот скрипт?

Этот скрипт пригодится:

Аудиторам безопасности
Веб-администраторам
Охотникам за багами (Bug bounty)
Чёрным хакерам, я полагаю ¯\_(ツ)_/¯

Веб-сервисы, используемые в этом скрипте

Используются следующие сервисы:

Часто задаваемые вопросы

Почему на Bash, а не на Python?

Всё начиналось как несколько однострочных CURL-команд, превратилось в bash-скрипт, код расширялся всё больше и больше, и сожаление о том, что не использовал Python, росло пропорционально.

Я нахожу больше поддоменов своими инструментами?

Я знаю. Я не могу ожидать, что все установят все эти инструменты для перебора и перечисления DNS. Кроме того, я заранее не знаю, в какой папке находятся эти инструменты или под каким псевдонимом они вызываются. Вы можете предоставить свой собственный список с помощью -l, чтобы передать вывод этих инструментов для поддоменов в этот инструмент. Ожидаемый ввод — полный поддомен в каждой строке.

Автор

Создатель проекта

bypass-firewalls-by-DNS-history

Популярное