Cloudflare Security

हैकट्रिक्स का समर्थन करें और लाभ प्राप्त करें!

• यदि आप अपनी कंपनी को हैकट्रिक्स में विज्ञापित करना चाहते हैं या यदि आप PEASS के नवीनतम संस्करण देखना चाहते हैं या HackTricks को PDF में डाउनलोड करना चाहते हैं तो सदस्यता योजनाएं देखें!

• आधिकारिक PEASS और HackTricks स्वैग प्राप्त करें

• The PEASS Family की खोज करें, हमारा एकल NFT संग्रह

• शामिल हों 💬 Discord समूह या टेलीग्राम समूह में या Twitter पर मेरा अनुसरण करें 🐦 @carlospolopm.

• हैकिंग ट्रिक्स साझा करें अपने द्वारा PR जमा करके HackTricks और HackTricks Cloud github repos में।

क्लाउडफ्लेयर खाते में कुछ सामान्य सेटिंग्स और सेवाएं कॉन्फ़िगर की जा सकती हैं। इस पृष्ठ में हम प्रत्येक खंड की सुरक्षा संबंधित सेटिंग्स का विश्लेषण करेंगे:

वेबसाइट

प्रत्येक के साथ समीक्षा करें:

pageCloudflare Domains

डोमेन पंजीकरण

• ट्रांसफर डोमेन में जांचें कि कोई भी डोमेन ट्रांसफर नहीं कर सकता है।

प्रत्येक के साथ समीक्षा करें:

pageCloudflare Domains

वेब विश्लेषण

मैंने कॉन्फ़िगर सुरक्षा समीक्षा के लिए कुछ भी नहीं पाया।

पेज

प्रत्येक क्लाउडफ्लेयर पेज पर:

• बिल्ड लॉग में संवेदनशील जानकारी की जांच करें।

• पेज के लिए निर्दिष्ट गिटहब रिपॉजिटरी में संवेदनशील जानकारी की जांच करें।

• वर्कफ़्लो आदेश इंजेक्शन या pull_request_target के माध्यम से गिटहब रिपॉजिटरी के संकट की जांच करें। अधिक जानकारी के लिए गिटहब सुरक्षा पृष्ठ देखें।

• /fuctions निर्देशिका में विकल्पयुक्त फ़ंक्शन की जांच करें (यदि कोई हो), redirects फ़ाइल में पुनर्निर्देशन की जांच करें (यदि कोई हो) और headers फ़ाइल में गलत रूप से कॉन्फ़िगर किए गए हैडर्स की जांच करें (यदि कोई हो)।

• वेब पेज में कमजोरियों की जांच करें यदि आप कोड तक पहुंच सकते हैं

• प्रत्येक पेज /<page_id>/pages/view/blocklist/settings/functions के विवरण में पर्यावरण चर में संवेदनशील जानकारी की जांच करें।

• विवरण पृष्ठ में बिल्ड आदेश और रूट निर्देशिका भी जांचें, पृष्ठ को संकटित करने के लिए संभावित इंजेक्शन की संभावना हो सकती है।

वर्कर्स

प्रत्येक क्लाउडफ्लेयर वर्कर्स की जांच करें:

• ट्रिगर: वर्कर को क्या ट्रिगर करता है? क्या एक उपयोगकर्ता डेटा भेज सकता है जिसे वर्कर द्वारा उपयोग किया जाएगा?

• सेटिंग्स में, संवेदनशील जानकारी युक्त चर की जांच करें

• वर्कर का कोड जांचें और कमजोरियों की खोज करें (विशेष रूप से उन स्थानों में जहां उपयोगकर्ता इनपुट को प्रबंधित कर सकता है)

• आपके नियंत्रण में वापस आने वाले पृष्ठ की जांच करें

• एक svg छवि के भीतर JS को निष्पादित करके XSS जांचें

ध्यान दें कि डिफ़ॉल्ट रूप से वर्कर को URL दिया जाता है जैसे <worker-name>.<account>.workers.dev। उपयोगकर्ता इसे एक सबडोमेन पर सेट कर सकता है ल

खाता प्रबंधित करें

• क्रेडिट कार्ड के अंतिम 4 अंक, समाप्ति समय और बिलिंग पता को बिलिंग -> भुगतान जानकारी में देखना संभव है।

• खाते में उपयोग की जाने वाली योजना प्रकार को बिलिंग -> सदस्यता में देखना संभव है।

• सदस्य में खाते के सभी सदस्यों और उनकी भूमिका देखना संभव है। ध्यान दें कि यदि योजना प्रकार Enterprise नहीं है, तो केवल 2 भूमिकाएं होती हैं: प्रशासक और सुपर प्रशासक। लेकिन यदि उपयोग की जाने वाली योजना Enterprise है, तो अधिक भूमिकाएं का उपयोग करके न्यूनतम अधिकार के सिद्धांत का पालन किया जा सकता है।

• इसलिए, जब भी संभव हो, योजना Enterprise का उपयोग करना सिफारिश किया जाता है।

• सदस्यों में देखना संभव है कि कौन से सदस्यों के पास 2FA सक्षम है। प्रत्येक उपयोगकर्ता को इसे सक्षम करना चाहिए।

ध्यान दें कि भाग्यशाली रूप से भूमिका प्रशासक को सदस्यताओं का प्रबंधन करने की अनुमति नहीं होती है (अधिकार बढ़ाने या नए सदस्यों को आमंत्रित करने की अनुमति नहीं होती है)

DDoS जांच

इस भाग को देखें.

बेनिफिट प्राप्त करें और HackTricks का समर्थन करें!

• यदि आप अपनी कंपनी को HackTricks में विज्ञापित करना चाहते हैं या यदि आप PEASS के नवीनतम संस्करण या HackTricks को PDF में डाउनलोड करने की अनुमति चाहते हैं, तो सदस्यता योजनाएं देखें!

• आधिकारिक PEASS & HackTricks swag प्राप्त करें

• The PEASS Family की खोज करें, हमारा एक अनन्य NFT संग्रह

• 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह में शामिल हों या मुझे ट्विटर पर फ़ॉलो करें 🐦 @carlospolopm.

• अपने हैकिंग ट्रिक्स साझा करें, PRs सबमिट करके HackTricks और HackTricks Cloud github repos को।