Reálná IP adresa za Cloudflare

[Whoami68]

Dá se nějak vytáhnout IP adresu z user.smartdescpanel.com, pokud je za Cloudflare?
Bohužel Cloudflare nepoužívají jenom ti legitimní.

[Reklama]

[FangException]

Za předpokladu, že na doméně existují DNS záznamy mimo proxy.

Pokud existují nějaké další možnosti, tak to někdo doplní 

[Whoami68]

Nejsem si úplně jistý, ale snažím se dohledat originální IP adresu u podvodníků.
Našel jsem subdoménu server.smartdescpanel.com, která vrací tuto JSON chybu:

Kód: [Vybrat]

{"status":0,"data":null,"errors":[{"code":"csrf","parameter":"csrf-token","message":"Invalid token"}]}Zkusil jsem tento otisk vyhledat na Censysu pomocí query:

Kód: [Vybrat]

((host.services.endpoints.http.body:"Invalid token" and host.services.endpoints.http.body:"csrf") or (web.endpoints.http.body:"Invalid token" and web.endpoints.http.body:"csrf")) and host.services.tls.certificates.names: "smartdescpanel.com"Díky tomu jsem narazil na IP adresu 34.116.147.108. Následný Reverse IP lookup mi u této IP ukázal starší subdomény jako server.trade.brivex.tech a podobně. Logicky to všechno sedí (stejný stack atd.).

Nejsem profi pentester, tak se chci zeptat zkušenějších, jdu na to správným směrem?
Potvrdil jsem tímto stoprocentně reálnou IP adresu toho backendu, nebo mi tam mohl uniknout něco?
Díky za rady!

[Džan]

Je to těžké, ale třeba máš šanci - https://github.com/spyboy-productions/CloakQuest3r

[LacconePanda]

chtělo by to vytáhnout čeština (a /V první řadě) to chce se zeptat zda vytáhnout
čeho -  adresa nebo adresu   - koho?   
 Mě třeba podle titulku napadl jiný řešený problém reverzní proxy, zda backend vidí reálné IP adresy klientům (nejen rovnák HTTP_FORWARDED) ale přímo adresa ve stacku. To se dá řešit, jen potřebuješ mít na to zařízen routing, aby bylo poznat podle čeho posílat tyto "nereálné" adresy zpět do tunelu CF. například podle ip rule nebo preroutingem-J MARK v tabulce mangle. Konec spekulace.

Nicméně pokud scháníš ip adresu backendu, tak daný server ani publicip adresu mít nemusí, může mít nějakou private-LAN

Já mám nápad, pokud třeba stránka umožňuje zdat obrazek uživ profilu( INPUT type radio value = upload/nahrát z url)tedy donutit stránku vykonat externí request (stejně tak pokud web odněkud čerpá data) který ty budeš mít pod kontrolou. A doufat, že nepoužívá tento nebo jiný tunel na obrácený traffic (tedy role klienta)

[Reklama]

[Filip Jirsák (forum)]

Musíte začít tím, že napíšete, o jaký protokol se jedná (nejspíš HTTPS, ale podle čeho to máme uhodnout), o jakou službu Cloudflare se jedná a jakou službu řešíte vy.

Protože Cloudflare nabízí např. službu reverzní proxy cache + WAF (s tím začínali), kdy doménové směruje na servery Cloudflare, ty požadavek vyčistí; odmítnou, když je škodlivý; odbaví, když mají jak; a přepošlou na skrytý backend server, pokud je to potřeba. Můžete být provozovatelem toho backend serveru a chtít IP adresu uživatele – ta je v hlavičkách. Nebo jste možná uživatel a chcete IP adresu toho backend serveru – pokud někdo neudělal chybu, tak ji nezjistíte, protože účelem toho řešení je právě to, aby ten backend server byl schovaný a nešlo ho přímo napadnout. Klidně může být dostupný jen nějakou privátní linkou.

No a Cloudflare dnes také provozuje různé tunely a VPN nebo možnost spouštět u nich kód –  a vy možná máte pocit, že někdo dělá něco nekalého a ten provoz se k vám dostává z infrastruktury Cloudflare.

Takže začít musíte tím, že napíšete, co víte.

[Radek Zajíc]

Mně ten původní dotaz dlouho nedával smysl, ale nakonec to vypadá, že se tazatel ptá, jestli se nějak dá zjistit adresa origin serveru (=skutečného webserveru) servírujícího hostname user[.]smartdescpanel[.]com. Zónu servíruje Cloudflare DNS (dane.ns.cloudflare.com., adaline.ns.cloudflare.com.) a v konfiguraci Cloudflaru je pravděpodobně zapnutý režim "proxy", tj. v Clouflare DNS bude skutečná adresa serveru, ale navenek vidíme jen Cloudflare IP:

Kód: [Vybrat]

$ host user.smartdescpanel.com
user.smartdescpanel.com has address 188.114.97.9
user.smartdescpanel.com has address 188.114.96.9
user.smartdescpanel.com has IPv6 address 2a06:98c1:3120::9
user.smartdescpanel.com has IPv6 address 2a06:98c1:3121::9
Obávám se, že odpověď na původní otázku je "nedá se to nijak standardně zjistit".

[Filip Jirsák (forum)]

Mně ten původní dotaz dlouho nedával smysl, ale nakonec to vypadá, že se tazatel ptá, jestli se nějak dá zjistit adresa origin serveru (=skutečného webserveru) servírujícího hostname user[.]smartdescpanel[.]com. Zónu servíruje Cloudflare DNS (dane.ns.cloudflare.com., adaline.ns.cloudflare.com.) a v konfiguraci Cloudflaru je pravděpodobně zapnutý režim "proxy", tj. v Clouflare DNS bude skutečná adresa serveru, ale navenek vidíme jen Cloudflare IP:

Kód: [Vybrat]

$ host user.smartdescpanel.com
user.smartdescpanel.com has address 188.114.97.9
user.smartdescpanel.com has address 188.114.96.9
user.smartdescpanel.com has IPv6 address 2a06:98c1:3120::9
user.smartdescpanel.com has IPv6 address 2a06:98c1:3121::9
Obávám se, že odpověď na původní otázku je "nedá se to nijak standardně zjistit".

Je to asi nejpravděpodobnější výklad dotazu. Akorát pak nechápu tu poznámku „bohužel Cloudflare nepoužívají jenom ti legitimní“, resp. jak s tím zjevným tvrzením souvisí snaha získat IP adresu originu.

Pokud to tak opravdu je, platí to, co jsem psal – pokud někdo neudělal chybu a ta adresa někde neuteče, zjistit se to nedá. A je to záměr – protože jedním z hlavních účelů Cloudflare CDN, ne-li tím nejdůležitějším, je odstínit origin server od útoků (ať už DDoS nebo jiných). Což by nefungovalo, pokud by si útočník mohl zjistit adresu origin serveru a zaútočit přímo na něj.

[Whoami68]

Já mám nápad, pokud třeba stránka umožňuje zdat obrazek uživ profilu( INPUT type radio value = upload/nahrát z url)tedy donutit stránku vykonat externí request (stejně tak pokud web odněkud čerpá data) který ty budeš mít pod kontrolou. A doufat, že nepoužívá tento nebo jiný tunel na obrácený traffic (tedy role klienta)

Taky jsem přemýšlel udělat to přes webhook, ale už se tam nedá přihlásit.

Musíte začít tím, že napíšete, o jaký protokol se jedná (nejspíš HTTPS, ale podle čeho to máme uhodnout), o jakou službu Cloudflare se jedná a jakou službu řešíte vy.

Tak to ani netuším, jakou službu používají u Cloudflaru.

Je to asi nejpravděpodobnější výklad dotazu. Akorát pak nechápu tu poznámku „bohužel Cloudflare nepoužívají jenom ti legitimní“, resp. jak s tím zjevným tvrzením souvisí snaha získat IP adresu originu.

Tím tvrzením jsem měl na mysli, že podvodníci to taky využívají ve svůj prospěch, aby skryli infrastrukturu.

[Filip Jirsák (forum)]

Já mám nápad, pokud třeba stránka umožňuje zdat obrazek uživ profilu( INPUT type radio value = upload/nahrát z url)tedy donutit stránku vykonat externí request (stejně tak pokud web odněkud čerpá data) který ty budeš mít pod kontrolou. A doufat, že nepoužívá tento nebo jiný tunel na obrácený traffic (tedy role klienta)

I kdybyste měl možnost něco si takhle vyžádat, neznamená to, že si to vyžádá ten samý server, na kterém běží ten web. Může tam být složitější infrastruktura (další proxy a backendy), to stažení externích dat klidně může být „outsourcované“ na nějakou AWS lambdu nebo cokoli jiného u úplně jiného poskytovatele.

Tak to ani netuším, jakou službu používají u Cloudflaru.

Tak máte napsat, co vidíte. To „je za Cloudlare“ je vaše interpretace a z vašeho dotazu se nedá zjistit, jak jste na ni přišel.

Přistupuji k https://user.smartdescpanel.com. Je tam něco škodlivého, potřeboval bych zjistit IP adresu skutečného serveru, nicméně DNS záznamy vedou na Cloudflare. Je nějaká možnost, jak zjistit IP adresu skutečného serveru?

Kdybyste to napsal takhle, bylo by jasné, na co se ptáte. Není tam nic, co nevíte, jsou tam fakta místo vašich interpretací.

Tím tvrzením jsem měl na mysli, že podvodníci to taky využívají ve svůj prospěch, aby skryli infrastrukturu.

A k čemu vám bude znalost infrastruktury útočníka? Nebo IP adresy jednoho jejich serveru? Pokud je na té webové stránce škodlivý obsah, nahlaste to do Google Safe Browsing, Cloudflare Abuse a případně na CSIRT, pokud to má souvislost s ČR. IP adresu k tomu nepotřebujete. Sám nic nepodnikejte, pokud se potřebujete takhle ptát.

[Whoami68]

A k čemu vám bude znalost infrastruktury útočníka? Nebo IP adresy jednoho jejich serveru? Pokud je na té webové stránce škodlivý obsah, nahlaste to do Google Safe Browsing, Cloudflare Abuse a případně na CSIRT, pokud to má souvislost s ČR. IP adresu k tomu nepotřebujete. Sám nic nepodnikejte, pokud se potřebujete takhle ptát.

Nahlásil jsem to, Cloudflare už zareagoval, viz foto. IP adresu jsem chtěl, abych to ještě nahlásil hosting providerovi, aby to zablokovali.