Статья HatCloud - Обход Cloudflare

Приветствую всех! В этой статье я хочу вас ознакомить с утилитой HatCloud.

HatCloud – инструмент, написанный на Ruby, его целью является, попытка обойти сервис CloudFlare на сайте, для того, чтобы выяснить реальный IP.

upload_2017-3-22_22-10-34.png


Это может быть полезно, если вам нужно протестировать ваш сервер и веб-сайт. Например, провести тестирование защиты от DoS и DDoS атак.

CloudFlare - популярный CDN-прокси, расположенный в США, который позволяет сделать Ваш сайт быстрее, за счет организации кеширования и более защищённым, за счет фильтрации запросов, похожих на атаки. При этом никаких особых изменений в сам проект вносить не нужно. Всё достигается добавлением адреса сайта в сервис и изменением записи NS для вашего домена.

Установим инструмент, я использую Kali Linux 2016.2.

> git clone https://github.com/HatBashBR/HatCloud

> cd HatCloud/

> ls –la

> chmod +x hatcloud.rb

upload_2017-3-22_22-11-1.png


Затем, запустим Hatcloud с опцией –help, для вызова справки о программе:

> ruby hatcloud.rb –help

upload_2017-3-22_22-11-30.png


Как видно, опций тут совсем немного. Надо попробовать программу в действии.

> ruby hatcloud.rb –b example.com

upload_2017-3-22_22-11-49.png


На проверяемом мною сайте, программа отработала корректно. Я получил искомый адрес. В некоторых случаях программе не удавалось ничего найти, я не могу сказать, с чем это связано.

На этом, пожалуй, все, может, кому ни будь, пригодится. Спасибо за внимание.
 
  • Нравится
Реакции: ZealotTV, Klim Mihno, InetTester и ещё 8
Нажмите, чтобы раскрыть...
Программа отличная,пользуюсь ей. С неудачным поиском реального IP тоже сталкиваюсь иногда . Как правило , такое происходит с очень небольшими и малоизвестными ресурсами , пока не попавших в списки различных баз и зависит от особенностей настроек защит от пингования.От себя ещё могу добавить , что реальный адрес можно искать на сайте , где ,если он занесён в базу , то отобразит реальный IP ресурса на карте.Сайт называется statstool.com . Второй способ через запрос команды # dig ANY , после чего первые выводы пингуются . Ещё один способ не совсем этичный - через Websploit c использованием модуля cloudfare .
 
  • Нравится
Реакции: Klim Mihno, Nimnul, ghost и ещё 1 человек
спасибо, интересно, но адрес кодбая не нашёл :) как дудосить кодбай - не ясно
 
  • Нравится
Реакции: Vander
Почитайте код этого "НОВАТОРА". Через crimeflare.com проходит поиск ай-пишников. Такую прогу я за вечер напишу. Поэтому напрямую заходим на
Ссылка скрыта от гостей
и ищем, что нужно.
 
  • Нравится
Реакции: ghost, qwert118, valerian38 и ещё 1 человек
Vertigo сказал(а):
Второй способ через запрос команды # dig ANY , после чего первые выводы пингуются
Нажмите, чтобы раскрыть...
Можно немного подробнее, по многочисленным просьбам прихожан? Непонятно что там пинговать.
Easypay сказал(а):
подскажите плиз что не так? На любом линке одно и тоже(
Нажмите, чтобы раскрыть...
 
Последнее редактирование:
  • Нравится
Реакции: Easypay
Nimnul сказал(а):
Можно немного подробнее, по многочисленным просьбам прихожан? Непонятно что там пинговать.
Нажмите, чтобы раскрыть...
Для начала узнаются поддомены,затем они пингуются:
Код: 
# ping mail.имя_поддомена
# ping ftp.имя_поддомена и т.д. (сервисы можно узнать через nmap)
Можно их пробовать пинговать и напрямую,но это расчёт на некорректную настройку Cloudflare.
Ещё полезно иногда пользоваться утилитой curl:
Код: 
# curl -H "Host: сайт.com" https://IP-адрес -k
А можно и так проверить заодно NS-записи,откуда можно выявить изменение зон:
Код: 
# dnsrecon –d сайт.com
Способов много,некоторые смотрят историю сайта и это помогает,пользуются картинкой-невидимкой с iplogger invisible.
Но в основном,для сокращения времени используют онлайн-сервисы для этого,которые можно найти в интернете.
 
  • Нравится
Реакции: Nimnul
Vertigo сказал(а):
Ещё один способ не совсем этичный - через Websploit c использованием модуля cloudfare .
Нажмите, чтобы раскрыть...
Websploit c репозиториев Kali Linux почему-то сейчас не такой, как я вижу в сети на скринах из 2017-го года. И модуля cloudfare там я не обнаружил. Нашёл версию 3.0.0. Актуально ли будет её использовать? Что скажете? Даже при обновлении баз родным скриптом, дата в интерфейсе программы остаётся старой.
Возможно ли, что ресурс за cloudfare имеет несколько IP?
Cпасибо за уделённое время и обширные пояснения.
 
Последнее редактирование:
  • Нравится
Реакции: Vertigo
Nimnul сказал(а):
Websploit c репозиториев Kali Linux почему-то сейчас не такой, как я вижу в сети на скринах из 2017-го года. И модуля cloudfare там я не обнаружил. Нашёл версию 3.0.0. Актуально ли будет её использовать? Что скажете? Даже при обновлении баз родным скриптом, дата в интерфейсе программы остаётся старой.
Возможно ли, что ресурс за cloudfare имеет несколько IP?
Cпасибо за уделённое время и обширные пояснения.
Нажмите, чтобы раскрыть...
В качестве альтернативы WebSploit с модулем CloudFlare, можно использовать CloudFail
 
  • Нравится
Реакции: Nimnul и Vertigo
Nimnul сказал(а):
Websploit c репозиториев Kali Linux почему-то сейчас не такой, как я вижу в сети на скринах из 2017-го года.
Нажмите, чтобы раскрыть...
Вы правы,есть Websploit 2017 года,в котором присутствует интересующий модуль.
Но конкретно данная версия инструмента не поддерживается и не обновляется.
Он также был выпилен из списка последних релизов Kali Linux как зависимый от пакетов Python,репозитории кот.были убраны.
Актуальность так себе,время не стоит на месте и защита развивается.
Nimnul сказал(а):
Возможно ли, что ресурс за cloudfare имеет несколько IP?
Нажмите, чтобы раскрыть...
Отличный вопрос и важный,поэтому и необходима разведка перед тестированием.
И запросы сканирования не только по IP,но и по имени домена.
Потому что,на одном IP может работать несколько ресурсов.
И некоторые пользуются сервисом Cloudflare,а другие нет.
Которые под защитой,у них будет IP от Cloudflare,т.к. те принимают на себя запросы.
Но реальный IP будет в итоге один.
Изучение поддоменов позволяет тестировать требуемую цель,а не её "соседей".
У web-ресурсов часто имеются сервера FTP,почтовые.Их реальные IP различные.
Но часть их может быть под защитой,часть нет.Это финансовый вопрос.
А на который свой IP принимать запросы защищённого ими ресурса и менять ли его -это уже дело Компании,предоставляющей данную услугу.
 
  • Нравится
Реакции: Krang и Nimnul
Тут есть интересная ситуация когда одна машина показывает несколько ip. То есть, шодан показывает идентичное по,месторасположение, а ip разные. Вот как это понимать?
 
  • Нравится
Реакции: Nimnul и Vertigo
Krang сказал(а):
Тут есть интересная ситуация
Нажмите, чтобы раскрыть...
Причин может быть много.
Shodan нашёл уязвимую машину по реальному IP,а ресурс на хостинге пользуется Cloudflare.
Ресурс большой и на хостинге настроены другие его серверы для различных задач,некоторые под Cloudflare и IP другой показывается.
И даже теоретически возможно поймать такой момент,когда закончился договор услуг Cloudflare и забыли его продлить.
Ошибка тестового ПО-такое тоже встречается.
Настройки защиты от администраторов ресурса помимо сторонних услуг от сканирований.
 
  • Нравится
Реакции: Nimnul и Krang

Vertigo сказал(а):
Причин может быть много.
Shodan нашёл уязвимую машину по реальному IP,а ресурс на хостинге пользуется Cloudflare.
Ресурс большой и на хостинге настроены другие его серверы для различных задач,некоторые под Cloudflare и IP другой показывается.
И даже теоретически возможно поймать такой момент,когда закончился договор услуг Cloudflare и забыли его продлить.
Ошибка тестового ПО-такое тоже встречается.
Настройки защиты от администраторов ресурса помимо сторонних услуг от сканирований.
Нажмите, чтобы раскрыть...
Я правильно понимаю,что на одной машине крутится несколько сервисов, и каждый со своим ip? У cloudf свой диапазон ip, а на машине совсем другие адреса.
 
  • Нравится
Реакции: Nimnul и Vertigo
Krang сказал(а):

Я правильно понимаю,что на одной машине крутится несколько сервисов, и каждый со своим ip?
Нажмите, чтобы раскрыть...
Может такое быть,но если виден сетевой "расколбас" (IP не от одной подсети),то вероятно какой-либо сервис настроен через VPN-шлюз.
Krang сказал(а):

У cloudf свой диапазон ip, а на машине совсем другие адреса.
Нажмите, чтобы раскрыть...
На машине адреса реальные,но только вместо них видны подставные от Cloudflare.
 
  • Нравится
Реакции: Nimnul и Krang
Буду благодарен за совет,

1. удалось найти ip за cloudflare(проверил на нескольких площадках вроде он, но как всегда быть уверенным на 100% не могу)
2 .Но при переходе по 80, 443 портам получаю заглушку 'It works!' которая мне с радостью говорит о том что сервак только что был установлен и отлично работает :)
3 Предполагаю что сервер настроен отдавать данные на cloudflare(чекает по хедерам) а всем остальным сует дефолтную страницу.. так сказать маскируется)... как лучше быть в данном случае?

В теории я понимаю что нужно ему скормить необходимые хедеры после чего сервер начнет отдавать мне нормальный контент,

Но по каким именно хедерам идет проверка?
Или это значит что даже имея белый ip сервака мой путь на его http/https закрыт ?
Если узнаю какие хедеры он проверят то тогда уже попробую настроить к примеру тот же wfuzz...
 
  • Нравится
Реакции: Krang
InetTester сказал(а):
Буду благодарен за совет,

1. удалось найти ip за cloudflare(проверил на нескольких площадках вроде он, но как всегда быть уверенным на 100% не могу)
2 .Но при переходе по 80, 443 портам получаю заглушку 'It works!' которая мне с радостью говорит о том что сервак только что был установлен и отлично работает :)
3 Предполагаю что сервер настроен отдавать данные на cloudflare(чекает по хедерам) а всем остальным сует дефолтную страницу.. так сказать маскируется)... как лучше быть в данном случае?

В теории я понимаю что нужно ему скормить необходимые хедеры после чего сервер начнет отдавать мне нормальный контент,

Но по каким именно хедерам идет проверка?
Или это значит что даже имея белый ip сервака мой путь на его http/https закрыт ?
Если узнаю какие хедеры он проверят то тогда уже попробую настроить к примеру тот же wfuzz...
Нажмите, чтобы раскрыть...
Очень интересная ситуация. А что говорит shodan? На каких портах apache?
 
Для ответа нужно войти/зарегистрироваться
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!

Верх Низ