Az - Front Door

Reading time: 5 minutes

RemoteAddr Bypass

This blog post समझाता है कि जब आप Azure Front Door के साथ कुछ नेटवर्क प्रतिबंध कॉन्फ़िगर कर रहे होते हैं तो आप RemoteAddr या SocketAddr के आधार पर फ़िल्टर कर सकते हैं। मुख्य अंतर यह है कि RemoteAddr वास्तव में X-Forwarded-For HTTP header से मान लेता है, जिससे इसे आसानी से bypass करना संभव हो जाता है।

To bypass this rule automated tools can be used that brute-force IP addresses until it finds a valid one.

यह Microsoft documentation में उल्लिखित है: https://learn.microsoft.com/en-us/azure/web-application-firewall/afds/waf-front-door-configure-ip-restriction

Credential Skimming via WAF Custom Rules + Log Analytics

Azure Front Door (AFD) के WAF Custom Rules और Log Analytics के संयोजन का दुरुपयोग करके WAF से गुजरने वाले cleartext credentials (या अन्य secrets) को capture किया जा सकता है। यह कोई CVE नहीं है; यह किसी भी व्यक्ति द्वारा WAF policy बदलने और उसके logs पढ़ने की legitimate सुविधाओं का दुरुपयोग है।

Key behavior enabling this:

• AFD WAF Custom Rules request के तत्वों पर match कर सकते हैं, जिनमें headers और POST parameters शामिल हैं।
• जब कोई Custom Rule action Log traffic only उपयोग करता है, तो evaluation जारी रहती है और traffic आगे बढ़ता है (कोई short-circuit नहीं), जिससे flow सामान्य/stealthy रहता है।
• AFD verbose diagnostics Log Analytics में लिखता है, Category FrontDoorWebApplicationFirewallLog के अंतर्गत। Matched payload details details_matches_s में शामिल होते हैं साथ ही rule नाम ruleName_s में रहता है।

End-to-end workflow

1. Identify target POST parameters

• login form की जांच करें और parameter नाम नोट करें (उदा., username, password).

2. Enable diagnostics to Log Analytics

• In your Front Door profile > Monitoring > Diagnostic settings, send logs to a Log Analytics workspace.
• At minimum, enable the category: FrontDoorWebApplicationFirewallLog.

3. Create a malicious Custom Rule

• Front Door WAF Policy > Custom rules > New rule:
• Name: साधारण नाम रखें, जैसे PasswordCapture
• Priority: छोटा नंबर (उदा., 5) ताकि यह जल्दी evaluate हो
• Match: POST arguments username और password के साथ Operator = Any (किसी भी value से match)
• Action: Log traffic only

4. Generate events

curl -i -X POST https://example.com/login \
-H "Content-Type: application/x-www-form-urlencoded" \
--data "username=alice&password=S3cret!"

5. Log Analytics (KQL) से credentials निकालें

AzureDiagnostics
| where Category == "FrontDoorWebApplicationFirewallLog"
| where ruleName_s == "PasswordCapture"
| project TimeGenerated, ruleName_s, details_matches_s
| order by TimeGenerated desc

मैं के पास src/pentesting-cloud/azure-security/az-services/az-front-door.md की सामग्री अभी मौजूद नहीं है। कृपया उस फ़ाइल की markdown सामग्री यहाँ पेस्ट करें (या अपलोड करें), ताकि मैं आपके दिए हुए निर्देशों के अनुसार अंग्रेज़ी टेक्स्ट को हिंदी में अनुवाद कर सकूँ।

AzureDiagnostics
| where Category == "FrontDoorWebApplicationFirewallLog" and ruleName_s == "PasswordCapture"
| extend m = parse_json(details_matches_s)
| mv-expand match = m.matches
| project TimeGenerated, ruleName_s, match.matchVariableName, match.matchVariableValue
| order by TimeGenerated desc

मैच हुई वैल्यूज़ details_matches_s में दिखती हैं और उन में वे cleartext मान शामिल होते हैं जो आपके नियम से मैच हुए थे।

क्यों Front Door WAF और नहीं Application Gateway WAF?

• Application Gateway WAF के custom-rule logs उसी तरह offending POST/header values नहीं दिखाते; AFD WAF diagnostics matched content को details में शामिल करते हैं, जिससे credential capture संभव होता है।

Stealth और वैरिएंट्स

• Action को केवल Log traffic पर सेट करें ताकि requests टूटें नहीं और अन्य नियम सामान्य रूप से मूल्यांकन करते रहें।
• कम numeric Priority का उपयोग करें ताकि आपका logging rule किसी भी बाद के Block/Allow नियमों से पहले मूल्यांकित हो।
• आप किसी भी sensitive नाम/स्थान को लक्षित कर सकते हैं, केवल POST params ही नहीं (उदा., headers जैसे Authorization या API tokens body fields में)।

Prerequisites

• एक मौजूदा Azure Front Door instance।
• AFD WAF policy को संपादित करने और संबंधित Log Analytics workspace को पढ़ने की permissions।

References

• https://trustedsec.com/blog/azures-front-door-waf-wtf-ip-restriction-bypass
• Skimming Credentials with Azure's Front Door WAF
• Azure WAF on Front Door monitoring and logging