Cloudflare Güvenliği

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

Bir Cloudflare hesabında bazı genel ayarlar ve servisler yapılandırılabilir. Bu sayfada her bölümün güvenlikle ilgili ayarlarını inceleyeceğiz:

Websiteler

Her birini şu kaynakla inceleyin:

Cloudflare Domains

Domain Registration

  • Transfer Domains içinde herhangi bir domainin transfer edilemediğini kontrol edin.

Her birini şu kaynakla inceleyin:

Cloudflare Domains

Analytics

Konfigürasyon güvenlik incelemesi için kontrol edilecek bir şey bulamadım.

Pages

Her Cloudflare Pages sitesi için:

  • Build log içinde hassas bilgi olup olmadığını kontrol edin.
  • Pages’e atanan Github repository içinde hassas bilgi olup olmadığını kontrol edin.
  • Potansiyel github repo compromise için workflow command injection veya pull_request_target compromise kontrolü yapın. Daha fazla bilgi için Github Security page.
  • /fuctions dizininde (varsa) vulnerable functions olup olmadığını, _redirects dosyasında (varsa) redirectsi ve _headers dosyasında (varsa) misconfigured headersi kontrol edin.
  • web page üzerinde vulnerabilities için blackbox veya whitebox testleri yapın (koda erişebiliyorsanız).
  • Her sayfanın detaylarında /<page_id>/pages/view/blocklist/settings/functions. içinde Environment variables içinde hassas bilgi olup olmadığını kontrol edin.
  • Detay sayfasında ayrıca build command ve root directory’yi olası enjeksiyonlar için kontrol edin.

Workers

Her Cloudflare Worker için kontrol edin:

  • Triggers: Worker’ı ne tetikliyor? Bir kullanıcı veri gönderebiliyor mu ve bu veri worker tarafından kullanılıyor mu?
  • Settings içinde Variables içinde hassas bilgi olup olmadığını kontrol edin
  • Worker kodunu kontrol edin ve vulnerabilities arayın (özellikle kullanıcı girdisinin işlendiği yerlerde)
  • SSRF dönen ve sizin kontrol edebileceğiniz sayfaları kontrol edin
  • svg içinde JS çalıştıran XSS’leri kontrol edin
  • Worker’ın diğer internal servislerle etkileşime girip girmediğini kontrol edin. Örneğin, bir worker gelen girdiden alınan bilgileri depolayan bir R2 bucket ile etkileşime girebilir. Bu durumda worker’ın R2 bucket üzerindeki yetkilerini ve kullanıcının girişi üzerinden nasıl kötüye kullanılabileceğini kontrol etmek gerekir.

Warning

Note that by default a Worker is given a URL such as <worker-name>.<account>.workers.dev. The user can set it to a subdomain but you can always access it with that original URL if you know it.

Worker’ları pass-through proxy (IP rotation, FireProx-style) olarak kötüye kullanmaya dair pratik örnek için bakın:

Cloudflare Workers Pass Through Proxy Ip Rotation

R2

Her R2 bucket için kontrol edin:

  • CORS Policy yapılandırmasını kontrol edin.

Stream

TODO

Images

TODO

Security Center

  • Mümkünse bir Security Insights scan ve bir Infrastructure scan çalıştırın; bunlar güvenlik açısından ilginç bilgileri öne çıkarır.
  • Bu bilgileri güvenlik konfigürasyon hataları ve ilginç bilgiler açısından inceleyin

Turnstile

TODO

Zero Trust

Cloudflare Zero Trust Network

Bulk Redirects

Note

Unlike Dynamic Redirects, Bulk Redirects are essentially static — they do not support any string replacement operations or regular expressions. However, you can configure URL redirect parameters that affect their URL matching behavior and their runtime behavior.

  • Redirect ifadelerinin ve gereksinimlerinin mantıklı olduğundan emin olun.
  • Gizli ve ilginç bilgi içerebilecek sensitive hidden endpoints olup olmadığını kontrol edin.

Notifications

  • Notifications ayarlarını kontrol edin. Güvenlik için önerilen bildirimler:
  • Usage Based Billing
  • HTTP DDoS Attack Alert
  • Layer 3/4 DDoS Attack Alert
  • Advanced HTTP DDoS Attack Alert
  • Advanced Layer 3/4 DDoS Attack Alert
  • Flow-based Monitoring: Volumetric Attack
  • Route Leak Detection Alert
  • Access mTLS Certificate Expiration Alert
  • SSL for SaaS Custom Hostnames Alert
  • Universal SSL Alert
  • Script Monitor New Code Change Detection Alert
  • Script Monitor New Domain Alert
  • Script Monitor New Malicious Domain Alert
  • Script Monitor New Malicious Script Alert
  • Script Monitor New Malicious URL Alert
  • Script Monitor New Scripts Alert
  • Script Monitor New Script Exceeds Max URL Length Alert
  • Advanced Security Events Alert
  • Security Events Alert
  • Tüm destinationsi kontrol edin; webhook url’lerinde basic http auth gibi hassas bilgi olabilir. Ayrıca webhook url’lerinin HTTPS kullandığından emin olun.
  • Ek olarak, üçüncü taraflara gönderilen cloudflare bildirimlerini taklit etmeyi deneyebilirsiniz; belki bir şekilde zararlı bir şey enjekte edebilirsiniz.

Manage Account

  • Billing -> Payment info içinde kredi kartının son 4 hanesini, son kullanma tarihini ve fatura adresini görmek mümkündür.
  • Billing -> Subscriptions içinde hesapta kullanılan plan türünü görmek mümkündür.
  • Members içinde hesabın tüm üyelerini ve rolleri görebilirsiniz. Plan Enterprise değilse yalnızca 2 rol vardır: Administrator ve Super Administrator. Ancak kullanılan plan Enterprise ise, daha fazla rol least privilege ilkesini uygulamak için kullanılabilir.
  • Bu nedenle, mümkün olduğunda Enterprise plan kullanılması önerilir.
  • Members içinde hangi üyelerin 2FA etkinleştirdiğini kontrol etmek mümkündür. Her kullanıcıda 2FA etkin olmalıdır.

Note

Note that fortunately the role Administrator doesn’t give permissions to manage memberships (cannot escalate privs or invite new members)

DDoS Investigation

Check this part.

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin