Cloudflare Domains

Reading time: 5 minutes

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

U svakom TLD-u konfigurisanom u Cloudflare postoje neka opšta podešavanja i usluge koje se mogu konfigurisati. Na ovoj stranici ćemo analizirati podešavanja vezana za sigurnost svake sekcije:

Pregled

  • Steknite osećaj o koliko se usluga na računu koristi
  • Takođe pronađite zone ID i račun ID

Analitika

  • U Sigurnosti proverite da li postoji ograničenje brzine

DNS

  • Proverite zanimljive (osetljive?) podatke u DNS rekordima
  • Proverite poddomene koje bi mogle sadržati osetljive informacije samo na osnovu imena (kao što je admin173865324.domin.com)
  • Proverite web stranice koje nisu proksirane
  • Proverite proksirane web stranice koje se mogu pristupiti direktno putem CNAME-a ili IP adrese
  • Proverite da li je DNSSEC omogućen
  • Proverite da li se CNAME Flattening koristi u svim CNAME-ima
  • Ovo može biti korisno za sakrivanje ranjivosti preuzimanja poddomena i poboljšanje vremena učitavanja
  • Proverite da li domene nisu ranjive na spoofing

Email

TODO

Spectrum

TODO

SSL/TLS

Pregled

  • SSL/TLS enkripcija treba da bude Puna ili Puna (Stroga). Svaka druga će slati saobraćaj u čistom tekstu u nekom trenutku.
  • SSL/TLS Preporučivač treba da bude omogućen

Edge Sertifikati

  • Uvek koristite HTTPS treba da bude omogućeno
  • HTTP Stroga Transportna Bezbednost (HSTS) treba da bude omogućena
  • Minimalna TLS verzija treba da bude 1.2
  • TLS 1.3 treba da bude omogućen
  • Automatska HTTPS Prepravka treba da bude omogućena
  • Praćenje Transparentnosti Sertifikata treba da bude omogućeno

Sigurnost

  • U sekciji WAF zanimljivo je proveriti da li se koriste pravila vatrozida i ograničenja brzine za sprečavanje zloupotreba.
  • Akcija Zaobiđi će onemogućiti Cloudflare sigurnosne funkcije za zahtev. Ne bi trebala da se koristi.
  • U sekciji Page Shield preporučuje se da proverite da li je omogućena ako se koristi neka stranica
  • U sekciji API Shield preporučuje se da proverite da li je omogućena ako je neki API izložen u Cloudflare
  • U sekciji DDoS preporučuje se omogućiti DDoS zaštite
  • U sekciji Podešavanja:
  • Proverite da li je Nivo sigurnosti srednji ili veći
  • Proverite da li je Izazov Prolaz 1 sat maksimalno
  • Proverite da li je Provera Integriteta Pregledača omogućena
  • Proverite da li je Podrška za Privatnost Pass omogućena

CloudFlare DDoS Zaštita

  • Ako možete, omogućite Bot Fight Mode ili Super Bot Fight Mode. Ako štitite neki API koji se pristupa programatski (na primer, sa JS front end stranice). Možda nećete moći da omogućite ovo bez prekidanja tog pristupa.
  • U WAF: Možete kreirati ograničenja brzine po URL putanji ili za verifikovane botove (pravila ograničenja brzine), ili da blokirate pristup na osnovu IP, kolačića, referera...). Tako možete blokirati zahteve koji ne dolaze sa web stranice ili nemaju kolačić.
  • Ako je napad od verifikovanog bota, barem dodajte ograničenje brzine za botove.
  • Ako je napad na specifičnu putanju, kao mehanizam prevencije, dodajte ograničenje brzine na ovoj putanji.
  • Takođe možete dodati na belu listu IP adrese, IP opsege, zemlje ili ASN-ove iz Alata u WAF-u.
  • Proverite da li Upravljana pravila takođe mogu pomoći u sprečavanju eksploatacije ranjivosti.
  • U sekciji Alati možete blokirati ili dati izazov specifičnim IP-ovima i korisničkim agentima.
  • U DDoS-u možete prepraviti neka pravila da ih učinite restriktivnijim.
  • Podešavanja: Postavite Nivo sigurnosti na Visok i na Pod Napadom ako ste Pod Napadom i da je Provera Integriteta Pregledača omogućena.
  • U Cloudflare Domains -> Analitika -> Sigurnost -> Proverite da li je ograničenje brzine omogućeno
  • U Cloudflare Domains -> Sigurnost -> Događaji -> Proverite za otkrivene zlonamerne Događaje

Pristup

Cloudflare Zero Trust Network

Brzina

Nisam mogao pronaći nijednu opciju vezanu za sigurnost

Keširanje

  • U sekciji Konfiguracija razmotrite omogućavanje CSAM Alata za Skener

Workers Rute

Već ste trebali proveriti cloudflare workers

Pravila

TODO

Mreža

  • Ako je HTTP/2 omogućen, HTTP/2 do Origin treba da bude omogućen
  • HTTP/3 (sa QUIC) treba da bude omogućen
  • Ako je privatnost vaših korisnika važna, uverite se da je Onion Routing omogućen

Saobraćaj

TODO

Prilagođene Stranice

  • Opcionalno je konfigurisati prilagođene stranice kada se aktivira greška vezana za sigurnost (kao što su blokada, ograničenje brzine ili sam pod napadom)

Aplikacije

TODO

Scrape Shield

  • Proverite da li je Obfuscation Email Adresa omogućena
  • Proverite da li su Isključenja na Serveru omogućena

Zaraz

TODO

Web3

TODO

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks