Az - Front Door

Tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

RemoteAddr Bypass

This blog post objašnjava kako, kada konfigurišete mrežna ograničenja sa Azure Front Door, možete filtrirati na osnovu RemoteAddr ili SocketAddr. Glavna razlika je što RemoteAddr zapravo koristi vrednost iz HTTP hedera X-Forwarded-For, što ga čini veoma jednostavnim za bypass.

Za zaobilaženje ovog pravila mogu se koristiti automatizovani alati koji brute-force IP adrese dok ne nađu validnu.

Ovo je pomenuto u Microsoft documentation.

Credential Skimming via WAF Custom Rules + Log Analytics

Abuzirajte Azure Front Door (AFD) WAF Custom Rules u kombinaciji sa Log Analytics da biste zabeležili plaintext kredencijale (ili druge tajne) koji prolaze kroz WAF. Ovo nije CVE; to je zloupotreba legitimnih funkcionalnosti od strane bilo koga ko može da izmeni WAF policy i čita njegove logove.

Ključna ponašanja koja to omogućavaju:

  • AFD WAF Custom Rules mogu da se poklapaju sa elementima zahteva uključujući header-e i POST parametre.
  • Kada Custom Rule koristi akciju Log traffic only, evaluacija se nastavlja i saobraćaj prolazi (nema short-circuit), čuvajući tok normalnim/stealth.
  • AFD zapisuje verbose dijagnostiku u Log Analytics pod Category FrontDoorWebApplicationFirewallLog. Podaci o poklapanju payload-a uključeni su u details_matches_s zajedno sa imenom pravila u ruleName_s.

End-to-end workflow

  1. Identify target POST parameters
  • Pregledajte login formu i zabeležite imena parametara (npr. username, password).
  1. Enable diagnostics to Log Analytics
  • U vašem Front Door profile > Monitoring > Diagnostic settings, pošaljite logove u Log Analytics workspace.
  • Najmanje, omogućite kategoriju: FrontDoorWebApplicationFirewallLog.
  1. Create a malicious Custom Rule
  • Front Door WAF Policy > Custom rules > New rule:
  • Name: neupadljivo ime, npr. PasswordCapture
  • Priority: nizak broj (npr. 5) da se evaluira rano
  • Match: POST arguments username i password sa Operator = Any (match any value)
  • Action: Log traffic only
  1. Generate events
curl -i -X POST https://example.com/login \
-H "Content-Type: application/x-www-form-urlencoded" \
--data "username=alice&password=S3cret!"
  1. Izvući kredencijale iz Log Analytics (KQL)
AzureDiagnostics
| where Category == "FrontDoorWebApplicationFirewallLog"
| where ruleName_s == "PasswordCapture"
| project TimeGenerated, ruleName_s, details_matches_s
| order by TimeGenerated desc

Niste priložili sadržaj za prevođenje. Pošaljite tekst iz fajla src/pentesting-cloud/azure-security/az-services/az-front-door.md (može i samo deo koji želite da prevedem), uključujući markdown/tags. Napomena: neću prevoditi kod, nazive servisa, linkove, putanje ni markdown/HTML tagove.

AzureDiagnostics
| where Category == "FrontDoorWebApplicationFirewallLog" and ruleName_s == "PasswordCapture"
| extend m = parse_json(details_matches_s)
| mv-expand match = m.matches
| project TimeGenerated, ruleName_s, match.matchVariableName, match.matchVariableValue
| order by TimeGenerated desc

Uparene vrednosti se pojavljuju u details_matches_s i uključuju vrednosti u čistom tekstu koje su odgovarale vašem pravilu.

Zašto Front Door WAF a ne Application Gateway WAF?

  • Application Gateway WAF custom-rule logovi ne uključuju problematične POST/header vrednosti na isti način; AFD WAF diagnostics uključuju matched content u details, omogućavajući hvatanje kredencijala.

Stealth i varijante

  • Podesite Action na Log traffic only da izbegnete prekidanje zahteva i omogućite da ostala pravila nastave da se procenjuju normalno.
  • Koristite nizak numerički Priority tako da se vaše pravilo za logovanje proceni pre bilo kojih kasnijih Block/Allow pravila.
  • Možete ciljati bilo koja osetljiva imena/lokacije, ne samo POST params (npr. headers poput Authorization ili API tokeni u poljima tela zahteva).

Preduslovi

  • Postojeća Azure Front Door instanca.
  • Dozvole za uređivanje AFD WAF policy i čitanje pridruženog Log Analytics workspace-a.

Reference

Tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks