Cloudflare Domains

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.

En cada TLD configurado en Cloudflare hay algunas configuraciones y servicios generales que se pueden configurar. En esta página vamos a analizar las configuraciones relacionadas con la seguridad de cada sección:

Resumen

• Obtén una idea de cuánto se están usando los servicios de la cuenta

• Encuentra también el ID de zona y el ID de cuenta

Analítica

• En Seguridad verifica si hay alguna Limitación de tasa

DNS

• Verifica datos interesantes (¿sensibles?) en los registros de DNS

• Verifica si hay subdominios que podrían contener información sensible solo basándote en el nombre (como admin173865324.domin.com)

• Verifica si hay páginas web que no están protegidas

• Verifica si hay páginas web protegidas que pueden ser accedidas directamente por CNAME o dirección IP

• Verifica que DNSSEC esté habilitado

• Verifica que CNAME Flattening esté usado en todos los CNAMEs

• Esto podría ser útil para ocultar vulnerabilidades de toma de subdominio y mejorar los tiempos de carga

• Verifica que los dominios no sean vulnerables a suplantación

Correo Electrónico

TODO

Espectro

TODO

SSL/TLS

Resumen

• La encriptación SSL/TLS debe ser Completa o Completa (Estricto). Cualquier otra enviará tráfico en texto claro en algún momento.

• El Recomendador de SSL/TLS debe estar habilitado

Certificados de Edge

• Siempre usar HTTPS debe estar habilitado

• HTTP Strict Transport Security (HSTS) debe estar habilitado

• La versión mínima de TLS debe ser 1.2

• TLS 1.3 debe estar habilitado

• Reescrituras automáticas de HTTPS deben estar habilitadas

• Monitoreo de Transparencia de Certificados debe estar habilitado

Seguridad

• En la sección WAF es interesante verificar que se utilizan reglas de Firewall y limitación de tasa para prevenir abusos.

• La acción Bypass desactivará las características de seguridad de Cloudflare para una solicitud. No debe ser utilizada.

• En la sección Page Shield se recomienda verificar que esté habilitado si se utiliza alguna página

• En la sección API Shield se recomienda verificar que esté habilitado si alguna API está expuesta en Cloudflare

• En la sección DDoS se recomienda habilitar las protecciones DDoS

• En la sección Configuraciones:

• Verifica que el Nivel de Seguridad sea medio o mayor

• Verifica que el Tiempo de Desafío sea de 1 hora como máximo

• Verifica que la Verificación de Integridad del Navegador esté habilitada

• Verifica que el Soporte de Privacy Pass esté habilitado

Protección DDoS de CloudFlare

• Si puedes, habilita Modo de Lucha contra Bots o Modo de Lucha contra Super Bots. Si estás protegiendo alguna API accesada programáticamente (desde una página de frontend JS, por ejemplo). Puede que no puedas habilitar esto sin romper ese acceso.

• En WAF: Puedes crear límites de tasa por ruta de URL o para bots verificados (reglas de limitación de tasa), o bloquear acceso basado en IP, Cookie, referidor...). Así que podrías bloquear solicitudes que no provengan de una página web o que no tengan una cookie.

• Si el ataque proviene de un bot verificado, al menos agrega un límite de tasa a los bots.

• Si el ataque es a una ruta específica, como mecanismo de prevención, agrega un límite de tasa en esta ruta.

• También puedes blanquear direcciones IP, rangos de IP, países o ASN desde las Herramientas en WAF.

• Verifica si las Reglas Administradas también podrían ayudar a prevenir explotaciones de vulnerabilidades.

• En la sección Herramientas puedes bloquear o dar un desafío a IPs específicas y agentes de usuario.

• En DDoS podrías sobrescribir algunas reglas para hacerlas más restrictivas.

• Configuraciones: Establece el Nivel de Seguridad en Alto y en Bajo Ataque si estás Bajo Ataque y que la Verificación de Integridad del Navegador esté habilitada.

• En Dominios de Cloudflare -> Analítica -> Seguridad -> Verifica si la limitación de tasa está habilitada

• En Dominios de Cloudflare -> Seguridad -> Eventos -> Verifica si hay Eventos maliciosos detectados

Acceso

Cloudflare Zero Trust Network

Velocidad

No pude encontrar ninguna opción relacionada con la seguridad

Caché

• En la sección Configuración considera habilitar la Herramienta de Escaneo de CSAM

Rutas de Workers

Ya deberías haber revisado cloudflare workers

Reglas

TODO

Red

• Si HTTP/2 está habilitado, HTTP/2 a Origen debe estar habilitado

• HTTP/3 (con QUIC) debe estar habilitado

• Si la privacidad de tus usuarios es importante, asegúrate de que Onion Routing esté habilitado

Tráfico

TODO

Páginas Personalizadas

• Es opcional configurar páginas personalizadas cuando se activa un error relacionado con la seguridad (como un bloqueo, limitación de tasa o estoy en modo de ataque)

Aplicaciones

TODO

Escudo de Rasguño

• Verifica que la Ofuscación de Direcciones de Correo Electrónico esté habilitada

• Verifica que los Excluidos del lado del servidor estén habilitados

Zaraz

TODO

Web3

TODO

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.