Вопрос или проблема
Мне интересно, как охотники за ошибками / тестировщики на проникновение используют DirBuster и GoBuster, не получая блокировки своих IP-адресов всё время (поэтому я и спрашиваю)?
Просто “избежать WAF” невозможно, он выполняет свою работу. Ну, за исключением конкретных методов обхода полезной нагрузки. Но это не то, о чем ваш вопрос.
Что касается “обхода” WAF в отношении таких вещей, как перебор каталогов, лучший подход, который вы можете предпринять, это, как предложил Шредер, установить скорость сканирования ниже порога, установленного WAF. Например, если WAF настроен на начало сброса пакетов, когда один IP-адрес отправляет 100 запросов или более за 5 минут. Тогда вам нужно установить ваше сканирование так, чтобы отсылать не более этого количества.
Чтобы найти оптимальную точку, вы просто начинаете свое сканирование достаточно агрессивно (в зависимости от среды) и постепенно снижаете его, пока ваши запросы не начнут проходить. Я должен отметить, что в наши дни WAF могут иметь довольно тонкие правила, так что это действительно применимо только к классическому сценарию сброса трафика, когда он слишком частый.
Ответ или решение
Избежание блокировок WAF с помощью DirBuster: практическое руководство для пентестеров
В мире тестирования безопасности веб-приложений использование инструментов, таких как DirBuster и GoBuster, становится важным элементом в арсенале специалистов по безопасности. Однако работа с этими инструментами часто сталкивается с проблемой блокировок со стороны систем веб-аппликационной защиты (WAF). В этой статье мы рассмотрим, как эффективно использовать DirBuster, минимизируя риск блокировки IP-адреса и реализуя лучшие практики пентестинга.
Понимание WAF и его механизмов
WAF (Web Application Firewall) — это система, которая анализирует и фильтрует HTTP-трафик между веб-приложениями и клиентами, защищая их от различных типов атак. WAF может принимать решения на основе ряда факторов, таких как частота запросов, содержание и структура запросов. Поэтому важно понимать, как настроены правила WAF.
1. Регулирование скорости сканирования
Одним из ключевых аспектов обхода WAF является контроль скорости отправляемых запросов. Если WAF установил порог, например, 100 запросов за 5 минут, необходимо настроить инструменты таким образом, чтобы не превышать этот лимит. Для этого:
- Начинайте сканирование с умеренной скорости. Убедитесь, что ваши действия не привлекают ненужного внимания.
- Постепенно увеличивайте нагрузку, отслеживая реакцию WAF. Как только начнут происходить блокировки, снизьте скорость до уровня, при котором запросы продолжают проходить.
2. Использование пауз между запросами
Встроенные паузы могут помочь в предотвративет блокировку. Установите задержку между отправкой запросов, чтобы имитировать поведение обычного пользователя:
- Внедряйте случайные задержки. Это затруднит WAF определение ваших действий как атаки и снизит вероятность блокировки.
- Безопасная пауза в 5-10 секунд между запросами может быть хорошо принята WAF.
3. Многоразовые проверки и обход IP-банов
Если IP-адрес вашего инструмента блокируется, это может серьёзно затруднить процесс. Вот несколько методов:
- Используйте прокси-серверы. Регулярно переключая IP-адреса, вы сможете избежать блокировок.
- Удаленно запускайте тесты через разные страны или дата-центры. Это позволит вам работать с множеством IP одновременно.
4. Обход фильтров по содержимому
Заголовки запросов и их содержание могут влиять на то, как WAF обрабатывает их:
- Изменяйте заголовки запросов. Используйте различные User-Agent или другие значения в заголовках, чтобы предполагать разные сценарии использования.
- Соседние методы запросов. Попробуйте использовать методы, такие как POST вместо GET, если это уместно для вашего тестирования.
5. Анализ и модификация результативности
Анализируйте логи запросов, чтобы понять, что именно вызывает сбои. Это поможет вам корректировать вашу стратегию и адаптироваться под специфику WAF, который вы тестируете.
Заключение
Использование DirBuster и GoBuster при тестировании на проникновение требует аккуратного подхода к управлению скоростью и содержанием запросов. Понимание механизмов работы WAF, регулярное тестирование и настройка инструментов, а также внедрение различных методов защиты помогут избежать блокировок и сделать процесс пентестинга более эффективным. Надеемся, что эти рекомендации помогут вам успешно использовать DirBuster и GoBuster в вашей практике.