Cloudflare Domains
Last updated
Last updated
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
In jeder TLD, die in Cloudflare konfiguriert ist, gibt es einige allgemeine Einstellungen und Dienste, die konfiguriert werden können. Auf dieser Seite werden wir die sicherheitsrelevanten Einstellungen jeder Sektion analysieren:
TODO
TODO
Wenn möglich, aktiviere den Bot Fight Mode oder den Super Bot Fight Mode. Wenn du eine API schützt, die programmgesteuert (z. B. von einer JS-Frontend-Seite) aufgerufen wird, kannst du dies möglicherweise nicht aktivieren, ohne den Zugriff zu unterbrechen.
In WAF: Du kannst Ratenlimits nach URL-Pfad oder für verifizierte Bots (Ratenbegrenzungsregeln) erstellen oder den Zugriff basierend auf IP, Cookie, Referrer... blockieren. So könntest du Anfragen blockieren, die nicht von einer Webseite stammen oder kein Cookie haben.
Wenn der Angriff von einem verifizierten Bot kommt, füge mindestens ein Ratenlimit für Bots hinzu.
Wenn der Angriff auf einen bestimmten Pfad abzielt, füge als Präventionsmechanismus ein Ratenlimit in diesem Pfad hinzu.
Du kannst auch IP-Adressen, IP-Bereiche, Länder oder ASNs aus den Tools in WAF whitelisten.
Überprüfe, ob Verwaltete Regeln auch helfen könnten, um die Ausnutzung von Schwachstellen zu verhindern.
Im Tools-Bereich kannst du bestimmte IPs und Benutzeragenten blockieren oder eine Herausforderung stellen.
Bei DDoS könntest du einige Regeln überschreiben, um sie restriktiver zu gestalten.
Einstellungen: Setze das Sicherheitsniveau auf Hoch und auf Unter Angriff, wenn du unter Angriff stehst und die Browser-Integritätsprüfung aktiviert ist.
In Cloudflare-Domains -> Analytik -> Sicherheit -> Überprüfe, ob die Ratenbegrenzung aktiviert ist
In Cloudflare-Domains -> Sicherheit -> Ereignisse -> Überprüfe auf erfasste bösartige Ereignisse
Ich konnte keine Option im Zusammenhang mit Sicherheit finden
Du solltest bereits cloudflare workers überprüft haben
TODO
TODO
TODO
TODO
TODO
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)