Форум АНТИЧАТ - CloudFlare Bypass

Страница 1 из 2

Показывать 40 сообщений этой темы на одной странице

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)

- Кухня (https://forum.antichat.xyz/forumdisplay.php?f=211)

- - CloudFlare Bypass (https://forum.antichat.xyz/showthread.php?t=426047)

Mister_Bert0ni

30.05.2015 01:24

Что такое CloudFlare?

CloudFlare – это сервис по обслуживанию и обеспечению безопасности.

Часто различные сайты прячут за ним свой реальный IP.

http://www.securityidiots.com/post_i...lare_logo1.png

Для того что бы разкрыть реальный IP будем использовать известные онлайн тулзы.

И так для примера возмем сайт c CloudFlare

PHP код:


		
			
PHP:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//gre4ka.info[/COLOR][/COLOR]

Для начала проверим IP:

Код:

Code:

ping gre4ka.info

Получим IP:104.28.18.120

http://s7.hostingkartinok.com/upload...c8fc6578ea.png

Пробуемм подключится по 80 порту:

Получем ошибку из которой видно что IP пренадлежит CloudFlare

http://s7.hostingkartinok.com/upload...1eff4bbcf0.png

Дальше идем на сайт сервис по раскрытию IP -адресов которые прячутся за CloudFlare:

PHP код:


		
			
PHP:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//www.crimeflare.com/cfs.html[/COLOR][/COLOR]

И просто в поиске вбиваем наш сайт...

В итоге получаем реальный IP:

Код:

Code:

gre4ka.info 146.185.128.222

http://s7.hostingkartinok.com/upload...31819b79b6.png

Проверяем прямое подключение по IP на 80 порт:

Получаем сайт уже без CloudFlare.Дальше уже спокойно можно работать с софтом и проводит аудит не только веб-приложения но и целевой системы(сканить порты,сервисы и т.д...)

http://s7.hostingkartinok.com/upload...61d1da7e3a.png

Еще как вариант можно использовать утилитку DIG для того что разкрыть возможные dns-имена,затем пинговать их:

http://s7.hostingkartinok.com/upload...c9bb067ad0.png

Но в нашем случае все записи не принадлежат реальному IP (

Еще один способ разкрытия реального IP сайта - это через почту.Это может быть регистрация на сайте или любой другой способ вынудить отправить вам письмо с веб сервера.И в теле письма посмотреть IP адрес.

CyberTro1n

29.09.2016 14:01

Цитата:

Сообщение от Mister_Bert0ni

Mister_Bert0ni said:
↑
Что такое CloudFlare?
CloudFlare – это сервис по обслуживанию и обеспечению безопасности.
Часто различные сайты прячут за ним свой реальный IP.
http://www.securityidiots.com/post_i...lare_logo1.png
Для того что бы разкрыть реальный IP будем использовать известные онлайн тулзы.
И так для примера возмем сайт c CloudFlare

PHP код:


		
			
PHP:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//gre4ka.info[/COLOR][/COLOR]

Для начала проверим IP:

Код:

Code:

ping gre4ka.info

Получим IP:104.28.18.120
http://s7.hostingkartinok.com/upload...c8fc6578ea.png
Пробуемм подключится по 80 порту:
Получем ошибку из которой видно что IP пренадлежит CloudFlare
http://s7.hostingkartinok.com/upload...1eff4bbcf0.png
Дальше идем на сайт сервис по раскрытию IP -адресов которые прячутся за CloudFlare:

PHP код:


		
			
PHP:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//www.crimeflare.com/cfs.html[/COLOR][/COLOR]

И просто в поиске вбиваем наш сайт...
В итоге получаем реальный IP:

Код:

Code:

gre4ka.info 146.185.128.222

http://s7.hostingkartinok.com/upload...31819b79b6.png
Проверяем прямое подключение по IP на 80 порт:
Получаем сайт уже без CloudFlare.Дальше уже спокойно можно работать с софтом и проводит аудит не только веб-приложения но и целевой системы(сканить порты,сервисы и т.д...)
http://s7.hostingkartinok.com/upload...61d1da7e3a.png
Еще как вариант можно использовать утилитку DIG для того что разкрыть возможные dns-имена,затем пинговать их:
http://s7.hostingkartinok.com/upload...c9bb067ad0.png
Но в нашем случае все записи не принадлежат реальному IP (
Еще один способ разкрытия реального IP сайта - это через почту.Это может быть регистрация на сайте или любой другой способ вынудить отправить вам письмо с веб сервера.И в теле письма посмотреть IP адрес.

Нашел)) спасибо! nmap можно добавить. А что еще взять если нет возможности отправить письмо(не с сервер), или же вообще отправка не привязана к реальному ипу?

BabaDook

29.09.2016 15:59

Способов-то много, но не один не является идеальным.

CyberTro1n

29.09.2016 19:26

Цитата:

Сообщение от BabaDook

BabaDook said:
↑
Способов-то много, но не один не является идеальным.

Например? Заметил, сегодня юзану по этой теме. Интересно что получится. А на другой стороне мои действия как отображаться могут, отображается?

BabaDook

29.09.2016 20:31

Цитата:

Сообщение от CyberTro1n

CyberTro1n said:
↑
Например? Заметил, сегодня юзану по этой теме. Интересно что получится. А на другой стороне мои действия как отображаться могут, отображается?

Логи, ну я хз, шодан как вариант, придумывать надо, надо изучать тему.

CyberTro1n

30.09.2016 00:46

Цитата:

Сообщение от BabaDook

BabaDook said:
↑
Логи, ну я хз, шодан как вариант, придумывать надо, надо изучать тему.

Логи однозначно) в системе клауда и в самой цели?

Djoser

01.10.2016 23:21

такой вопрос, а что если сервер по ip не открывается, как быть в таком случае? там наврно могут быть какие-то проверики? типа пришел не с клауд сервера а прямо....

CyberTro1n

12.10.2016 16:38

http://dim.st/i96703.jpg

я знаю что долго в кс играл. не пойму как столько доменов на одном ипе. как дальше идти, крутить?

zifus

11.11.2017 13:48

Как вариант ещё можно посмотреть историю изменения IP. Тот же viewdns.info может показать историю.

grimnir

11.11.2017 15:10

http://ptrarchive.com/

http://censys.io

https://myip.ms/

https://www.larger.io/

http://www.crimeflare.com/cfs.html#box

https://cl0udflare.cf/index.php

https://crt.sh/

http://searchdns.netcraft.com/

http://viewdns.info/iphistory/

https://fofa.so

grimnir

20.05.2018 13:36

https://medium.com/@denyfebriant/byp...m-526fb32ffa08

Код:

Code:

Свежий bypass xss фильтра Cloudflare %22}%3C%2500svg%26%23x09%3bx%2f%2500onload%3d%26%230000097%26%230000108%26%230000101%26%230000114%26%230000116%26%230000040%26%230000100%26%230000111%26%230000099%26%230000117%26%230000109%26%230000101%26%230000110%26%230000116%26%230000046%26%230000100%26%230000111%26%230000109%26%230000097%26%230000105%26%230000110%26%230000041%3E

grimnir

25.05.2018 00:10

https://github.com/MindPointGroup/cloudfrunt

CloudFrunt is a tool for identifying misconfigured CloudFront domains.

MstCard

01.06.2018 23:42

dnsdumper, sublist3r, cloudfail это же обратный прокси, насколько знаю обходится поиском ипа которые не за клаудом.

a1tiRi

10.07.2018 00:53

https://iphostinfo.com/cloudflare/

xmp	04.02.2019 18:35

Ещё из методов: если есть аплоуд на сайте можно грузить фаил/картинку и смотреть реальный ип в логах.

Решил попрактиковатся и собрать всё в кучу:

Код:

Code:

 Array

        (

            [host] => 100yellow.com

            [class] => IN

            [ttl] => 2733

            [type] => HINFO

            [cpu] => ANY obsoleted

            [os] => See draft-ietf-dnsop-refuse-any

        )



)

subdomain ips:

Array

(

    [0] =>

    [1] => 139.59.29.219

    [2] => 97.74.135.10

    [3] =>

    [4] => 72.167.238.29

    [5] => 97.74.135.10

    [6] =>

    [7] =>

    [8] =>

    [9] =>

    [10] =>

    [11] =>

    [12] =>

    [13] =>

    [14] =>

    [15] =>

    [16] =>

    [17] =>

    [18] =>

    [19] =>

    [20] =>

    [21] =>

    [22] =>

    [23] =>

    [24] =>

    [25] =>

    [26] =>

    [27] =>

    [28] =>

    [29] =>

    [30] =>

    [31] =>

    [32] =>

    [33] =>

    [34] =>

    [35] =>

    [36] =>

    [37] =>

    [38] =>

)

shodan:

stdClass Object

(

    [matches] => Array

        (

        )



    [total] => 0

)

Cookie:

Array

(

    [__cfduid] => dc2e8b1b92037edbb4c18f6ff9f2aba3c1549291585

)

time: 4.7554 sec.

Done.

shodan - мимо.

subдомены - дали реальный результат.

139.59.29.219 - редирект на www.139.59.29.219

Как задетектить что ип пренадлежит домену?

Сравнению контента мешает капча при клауд домене, детекчу по кукам. Кто знает вариант как обойти?

b3	14.04.2019 02:59

https://github.com/KyranRana/cloudflare-bypass этот обходит CF UAM page. Там 2 метода - curl и сокеты. Код на курле почему-то не захотел работать а сокеты проходят проверку.

pas9x

14.04.2019 06:00

Из методов которые я знаю:

Если на сайте есть регистрация или какая-либо возможность отправки почты то регаемся (или заставляем сайт отправить нам письмо) и смотрим айпишник сервера в заголовках письма. В 95% случаев письмо отправляется с самого сервера. Хотя некоторые сайты используют внешний smtp типа mailgun, тогда этот способ не проканает.
Если на сайте есть возможность заливки аватара по ссылке (или любая другая возможность заставить перейти сайт по ссылке) то можно заставить сайт перейти по ссылке и в логах сервера при обращении к твоей ссылке будет виден айпишник сервера.

PapaRed

14.04.2019 12:05

https://antichat.com/threads/468566/

Тот_самый_Щуп

18.04.2019 22:36

Цитата:

Сообщение от b3

b3 said:
↑
https://github.com/KyranRana/cloudflare-bypass
этот обходит CF UAM page. Там 2 метода - curl и сокеты. Код на курле почему-то не захотел работать а сокеты проходят проверку.

Код:

Code:

// -- 3. Get JavaScript answer.

eval( $iuam_jschl );

Клоуд будет очень доволен.

PakistaniH

20.04.2019 21:22

это все еще работает?

quite gray

13.03.2020 20:21

Цитата:

Сообщение от Mister_Bert0ni

Mister_Bert0ni said:
↑
Дальше идем на сайт сервис по раскрытию IP -адресов которые прячутся за CloudFlare:

PHP код:


		
			
PHP:
[COLOR="#000000"][COLOR="#0000BB"]http[/COLOR][COLOR="#007700"]:[/COLOR][COLOR="#FF8000"]//www.crimeflare.com/cfs.html[/COLOR][/COLOR]

И просто в поиске вбиваем наш сайт...

Умер сервис? А, похоже переехал на другой домен. Киньте прямую ссыль, если есть у кого под рукой.

vikaig

13.03.2020 20:51

Цитата:

Сообщение от quite gray

quite gray said:
↑
Умер сервис? А, похоже переехал на другой домен. Киньте ссыль, если есть у кого под рукой.

вот тебе ссылка с гугла http://www.crimeflare.org:82/cfs.html только наврядле тебе это поможет, нормальные сайты не светят свои IP, подобные сервисы подходят только для всяких домашних сайтов, и то если на них прийдет DDoS, то администратор сменит IP и уберет утечку информации

quite gray

13.03.2020 21:00

Цитата:

Сообщение от vikaig

vikaig said:
↑
вот тебе ссылка с гугла
http://www.crimeflare.org:82/cfs.html
но только наврядле тебе это поможет, нормальные сайты не светят свои IP, подобные сервисы подходят для всяких домашних сайтов, на которые DDoS не приходил

Благодарю за инфу. Не приходил? Значит придёт :-D Буду пробовать все методы определения IP.

.SpoilerTarget" type="button">Spoiler

.SpoilerTarget" type="button">Spoiler

Да, так и есть. Ничего.

Приступаем к плану Б...

Unknown

13.03.2020 21:34

Цитата:

Сообщение от None

Да, так и есть. Ничего. А я то думаю, почему там Админ такой в себе уверенный.
Приступаем к плану Б...

Иногда полезно пробить А-записи поддоменов и историю whois по смене А-записи.

quite gray

14.03.2020 06:04

Цитата:

Сообщение от pas9x

pas9x said:
↑
Если на сайте есть регистрация или какая-либо возможность отправки почты то регаемся (или заставляем сайт отправить нам письмо) и смотрим айпишник сервера в заголовках письма. В 95% случаев письмо отправляется с самого сервера. Хотя некоторые сайты используют внешний smtp типа mailgun, тогда этот способ не проканает.

А почту лучше на каком сервисе иметь? Google, Yandex или вообще без разницы. Одноразовая временная сойдёт?

Цитата:

Сообщение от pas9x

pas9x said:
↑
Если на сайте есть возможность заливки аватара по ссылке (или любая другая возможность заставить перейти сайт по ссылке) то можно заставить сайт перейти по ссылке и в логах сервера при обращении к твоей ссылке будет виден айпишник сервера.

Не понял. В логах какого сервера? А как доступ к логам получить?

Поясните пожалуйста кто-нибудь в двух словах. Паскаль ушёл, а вопросы будут на его посты накапливаться.

P.S. А что скажут бывалые за инструмент СloudFail?

Baskin-Robbins

14.03.2020 11:48

Цитата:

Сообщение от quite gray

quite gray said:
↑
Не понял. В логах какого сервера? А как доступ к логам получить?
Поясните пожалуйста кто-нибудь в двух словах. Паскаль ушёл, а вопросы будут на его посты накапливаться.

Заливаешь на свой сервер картинку. На таргете ищешь возможность вставить урл до своей картинки - не обязательно

аватар - вставка видео, музыки, файла, всего чего угодно по ссылке. Вставляешь. Сайт пытается обратится к картинке

по твоей ссылке. В логах твоего сервера остается запись обращения к картинке с ip таргета.

Если нет сервака. Берешь бесплатный хостинг. Льешь на него index.php с таким содержимым:

Код:

Code:

$remote  = $_SERVER['REMOTE_ADDR'];

$f = fopen("log.txt", "a");

fwrite($f, "$remote\n");

fclose($f);

На таргете вставляешь вместо урл аватара, картинки в сообщениях или видео, урл до своего скрипта.

Таргет пытается обратиться к твоему урл и в log.txt остается запись с ip.

Помимо $_SERVER['REMOTE_ADDR'] рекомендую обратить внимание на:

HTTP_X_FORWARDED_FOR, HTTP_CLIENT_IP

dooble

14.03.2020 19:15

Просто для информации.

Cloudflare рекомендуют настраивать закрываемый сервер на работу только со своими серверами и дропать пакеты от других источников.

В этом случае знание ИП за клаудом ничего не даст, напрямую работать не получится.

Но далеко не все следуют этой рекомендации.

quite gray

18.03.2020 18:21

Цитата:

Сообщение от dooble

dooble said:
↑
В этом случае знание ИП за клаудом ничего не даст, напрямую работать не получится.

IP сайта за Cloudflare есть. При вводе в строку переходит на главную страницу. Но там ещё форум на поддомене, типа forum.*******.com

Скажите, forum.*******.com имеет тот же IP, что и *******.com или не всегда?

Baskin-Robbins

18.03.2020 18:25

Цитата:

Сообщение от quite gray

quite gray said:
↑
Скажите, forum.*******.com имеет тот же IP, что и *******.com или не всегда?

не всегда

vladF

20.04.2020 16:41

Цитата:

Сообщение от Baskin-Robbins

Baskin-Robbins said:
↑
Заливаешь на свой сервер картинку. На таргете ищешь возможность вставить урл до своей картинки - не обязательно
аватар - вставка видео, музыки, файла, всего чего угодно по ссылке. Вставляешь. Сайт пытается обратится к картинке
по твоей ссылке. В логах твоего сервера остается запись обращения к картинке с ip таргета.
Если нет сервака. Берешь бесплатный хостинг. Льешь на него index.php с таким содержимым:

Код:

Code:

$remote  = $_SERVER['REMOTE_ADDR'];

$f = fopen("log.txt", "a");

fwrite($f, "$remote\n");

fclose($f);

На таргете вставляешь вместо урл аватара, картинки в сообщениях или видео, урл до своего скрипта.
Таргет пытается обратиться к твоему урл и в log.txt остается запись с ip.
Помимо $_SERVER['REMOTE_ADDR'] рекомендую обратить внимание на:
HTTP_X_FORWARDED_FOR, HTTP_CLIENT_IP

А если нет загрузки по ссылке? Есть только выбрать со своего компа,как можно реализовать? Ссылки кстати можно размещать в поле комментариев,но этим мне кажется ничего не добьешься,или можно?

Baskin-Robbins

20.04.2020 17:20

Цитата:

Сообщение от vladF

vladF said:
↑
как можно реализовать?

другими способами

Цитата:

Сообщение от vladF

vladF said:
↑
или можно?

можно попробовать

vladF

20.04.2020 17:42

Цитата:

Сообщение от Baskin-Robbins

Baskin-Robbins said:
↑
другими способами
можно попробовать

Все понятно,исчерпывающий ответ

BigBear

10.05.2020 01:14

Цитата:

Сообщение от quite gray

quite gray said:
↑
З.Ы. После моих тестов, при вводе прежнего IP в строку браузера уже сайт не открывается:
Spoiler
View attachment 9713
Но оповещения на почту приходят с форума с прежним IP. Что бы это значило? Смена IP или как так можно спрятаться?
Всегда ли, введя настоящий IP сайта в адресную строку, я на него смогу перейти?

Это значит, что администратор настроил отдачу контента только на ip сервера cloudflare.

Это и есть грамотная настройка сервера при защите через CloudFlare.

quite gray

10.05.2020 01:52

Цитата:

Сообщение от BigBear

BigBear said:
↑
Это значит, что администратор настроил отдачу контента только на ip сервера cloudflare.
Это и есть грамотная настройка сервера при защите через CloudFlare.

Он ещё и домен сменил. Скажи, мил человек, при смене домена меняется IP cайта? А как мне теперь узнать остался прежний IP или нет?

MichelleBoxing

10.05.2020 09:52

Цитата:

Сообщение от quite gray

quite gray said:
↑
Он ещё и домен сменил. Скажи, мил человек, при смене домена меняется IP cайта?

все зависит от действий администратора

Цитата:

Сообщение от quite gray

quite gray said:
↑
А как мне теперь узнать остался прежний IP или нет?

если админ грамотно все сделал и разрешает конекшены только с серверов cloudflare то никак наверное никак

BigBear

10.05.2020 17:19

Цитата:

Сообщение от quite gray

quite gray said:
↑
Пока quite gray не грянет, то Админ не перекрестится :-D
Он ещё и домен сменил. Скажи, мил человек, при смене домена меняется IP cайта? А как мне теперь узнать остался прежний IP или нет?

вы можете узнать новый домен:

1) если он не скрыл рег данные для старого и нового доменов

2) используя reverse whois по email

quite gray

15.05.2020 05:49

Цитата:

Сообщение от BigBear

Цитата:

Сообщение от MichelleBoxing

MichelleBoxing said:
↑
все зависит от действий администратора
если админ грамотно все сделал и разрешает конекшены только с серверов cloudflare то никак наверное никак

Если я правильно понял, то в таком случае распределённая стресс-атака напрямую, в обход CloudFlare, на сервер через IP не пройдёт? Только через/на публичное доменное имя cайта?

BigBear

15.05.2020 19:39

Цитата:

Сообщение от quite gray

quite gray said:
↑
Если я правильно понял, то в таком случае распределённая стресс-атака напрямую, в обход CloudFlare, на сервер через IP не пройдёт? Только через/на публичное доменное имя cайта?

Не уверен, так как (возможно) на отдачу контента настраивается только веб-службы, а остальные порты (22, 25, даже 3306) могут получать пакеты напрямую за пределом белых списков.

Это не точно, так как я не настраивал CloudFlare и не готов сказать, весь трафик настраивается или не весь.

quite gray

20.05.2020 08:06

Цитата:

Сообщение от BigBear

BigBear said:
↑
Не уверен, так как (возможно) на отдачу контента настраивается только веб-службы, а остальные порты (22, 25, даже 3306) могут получать пакеты напрямую за пределом белых списков.
Это не точно, так как я не настраивал CloudFlare и не готов сказать, весь трафик настраивается или не весь.

Теперь уже точно. Работает. Благодарю.

FireRidlle

24.05.2020 19:58

а есть варианты как обойти фильтры при sql injection?

никаким способом не удалось найти ip

Время: 12:13

Страница 1 из 2

Показывать 40 сообщений этой темы на одной странице