Çözüldü Cloudflare hakkında

[KurokoTetsuya]

Cloudflare ile korunan sitelerde XSS ararken bazı payload'larda "Sorry, you have been blocked
You are unable to access hedefsite.com" gibi bir hata alıyorum. Bu hata kullandığım XSS payload'ının çalıştığı anlamına mı geliyor?

 

['TÜRKÇÜ]

Merhabalar, büyük ihtimalle evet. Genellikle koruma olan sitelerde erişmeye çalıştığınız URL'de xss veyahut manuel SQL gibi yöntemler deniyorsaniz algılayıp, giriş izni vermiyor. Şöyle birşey de olabilir ki, hedef sitenizin herhangi bir URL sine tekrar deneyin payload'ınızı eğer hedef sitenin bütün URL'sinde bu şekilde sizi bloklayarak girmenize izin vermiyorsa. Sadece payload'ı görünce izin vermiyor olabilir. Dolayısıyla, o zaman herhangi bir açık vs. yoktur.

 

[STR-Key]

Cloudflare ile korunan sitelerde XSS ararken bazı payload'larda "Sorry, you have been blocked
You are unable to access hedefsite.com" gibi bir hata alıyorum. Bu hata kullandığım XSS payload'ının çalıştığı anlamına mı geliyor?

hayır o anlama gelmiyor Cloudflare seni ip olarak ban atıyor güvenlikten dolayı firewall olarak düşün

 

[KurokoTetsuya]

hayır o anlama gelmiyor Cloudflare seni ip olarak ban atıyor güvenlikten dolayı firewall olarak düşün

Ben de ilk başta öyle düşündüm, fakat başka bir payload denediğimde aynı hatayı almıyorum, "Ben robot değilim" kontrolü yapan bir yere yönlendiriliyorum.Ayrıca sürekli payload denediğim için ban yediğimi düşündüm, VPN kullanıp ilk seferde beni bloklayan payload'ı yazdığımda direkt aynı hatayı alıyorum. Basit payload yazdığımda tekrar robot değilim doğrulaması geliyor.

Edit:

Merhabalar, büyük ihtimalle evet. Genellikle koruma olan sitelerde erişmeye çalıştığınız URL'de xss veyahut manuel SQL gibi yöntemler deniyorsaniz algılayıp, giriş izni vermiyor. Şöyle birşey de olabilir ki, hedef sitenizin herhangi bir URL sine tekrar deneyin payload'ınızı eğer hedef sitenin bütün URL'sinde bu şekilde sizi bloklayarak girmenize izin vermiyorsa. Sadece payload'ı görünce izin vermiyor olabilir. Dolayısıyla, o zaman herhangi bir açık vs. yoktur.

Aynı subdomain'de farklı url'lere rastgele attım, yine bloklandım. Sanırım dediğiniz gibi, bir zafiyet bulunmamakta.

 

[PALA]

Ekleme yapayım;

Madem Cloudflare engel atıyor, o zaman bypass ediniz.

Onun için "http://www.crimeflare.org:82/" şuraya bakabilirsiniz.

"Uncovering bad guys hiding behind CloudFlare " seçeneğine gelip, site linkini yapıştırın. Size reel IP'yı verecektir.

Olmadı farklı toollar veya alternatiflere başvurabilirsiniz.

KurokoTetsuya

Eğer bu da olmuyorsa, evet, sitede XSS açığı yok.