WAFFLED: Exploiting Parsing Discrepancies to Bypass Web Application Firewalls

Resumo Técnico: WAFFLED

1. O Problema

As Web Application Firewalls (WAFs) são componentes críticos de segurança projetados para inspecionar o tráfego HTTP e filtrar solicitações maliciosas (como SQL Injection e XSS). No entanto, a segurança dessas defesas depende da premissa de que a WAF e o servidor de aplicação (backend) interpretam o conteúdo HTTP da mesma maneira.

O problema central identificado no trabalho é a existência de discrepâncias de parsing (análise sintática) entre a WAF e os frameworks de aplicação web. Enquanto a WAF pode interpretar um cabeçalho ou corpo de requisição de uma forma específica (e, portanto, considerá-lo seguro), o framework de aplicação subjacente pode interpretar o mesmo dado de forma diferente, permitindo que o payload malicioso seja executado. Essas inconsistências, muitas vezes causadas por implementações não conformes aos RFCs (Request for Comments) ou por suporte a recursos obsoletos, permitem que atacantes contornem as regras de segurança sem precisar ofuscar o payload em si.

2. Metodologia

Os autores desenvolveram uma abordagem sistemática para explorar essas discrepâncias, utilizando a ferramenta WAFFLED. A metodologia envolve os seguintes passos:

• Geração e Mutação de Requisições: Utilizando um fuzzer baseado em gramática (modificação do T-Reqs), o sistema gera requisições HTTP válidas contendo payloads de ataque conhecidos (XSS, SQLi).
• Foco em Mutação de Estrutura, não de Payload: Diferente de técnicas tradicionais que ofuscam o payload (ex: codificação, caracteres especiais), o WAFFLED mantém o payload de ataque intacto. Em vez disso, ele muta elementos estruturais não maliciosos, como:
  • Delimitadores de boundary em multipart/form-data.
  • Espaçamento, quebras de linha e capitalização em cabeçalhos.
  • Parâmetros de namespace em application/xml.
  • Formatação de objetos em application/json.
• Ambiente de Teste: O sistema testa combinações de 5 WAFs populares (AWS WAF, Azure WAF, Google Cloud Armor, Cloudflare, ModSecurity) contra 7 frameworks de aplicação (Flask, FastAPI, Express, Spring Boot, Laravel, etc.) e seus parsers padrão ou mais comuns.
• Validação Rigorosa: Um bypass é considerado válido apenas se:
  1. A WAF permitir a passagem da requisição.
  2. O framework de aplicação parsear a requisição com sucesso.
  3. O payload malicioso seja extraído e executado pelo framework.
     Isso evita falsos positivos onde requisições malformadas passam pela WAF, mas são rejeitadas pelo servidor.

3. Principais Contribuições

• Nova Abordagem de Evasão: Introduz a exploração de discrepâncias de parsing de conteúdo como uma classe distinta de evasão de WAF, focando na inconsistência entre a interpretação da WAF e do backend.
• Metodologia Automatizada: Desenvolvimento de um pipeline de fuzzing cego (black-box) capaz de identificar vetores de bypass baseados em discrepâncias de forma automática.
• Descoberta de Vulnerabilidades em Massa: Identificação de 1.207 bypasses únicos através de 5 WAFs e múltiplos frameworks.
• Ferramenta de Mitigação (HTTP-Normalizer): Criação de um proxy de prova de conceito que normaliza estritamente as requisições HTTP de acordo com os padrões RFC antes de enviá-las à WAF ou ao backend, eliminando as discrepâncias.
• Validação no Mundo Real: Estudo em 100 sites reais (páginas de "esqueci minha senha") demonstrando que mais de 90% dos sites aceitam intercambiavelmente application/x-www-form-urlencoded e multipart/form-data, validando a aplicabilidade prática das técnicas descobertas.

4. Resultados e Descobertas

O estudo cobriu três tipos de conteúdo principais: multipart/form-data, application/xml e application/json.

• Multipart (multipart/form-data): 351 bypasses únicos encontrados. As classes de ataque incluíam manipulação de delimitadores de boundary, injeção de cabeçalhos distorcidos no corpo, alteração de charset e remoção de quebras de linha.
• XML (application/xml): 299 bypasses únicos. Técnicas incluíam adição de campos extras fora do esquema, confusão na fechadura de DOCTYPE e manipulação de novoslinhas.
• JSON (application/json): 557 bypasses únicos. Técnicas incluíam manipulação de wrappers de campos (inserção de \x00), substituição de aspas duplas e alteração de nomes de campos.
• Impacto nos Vendedores: Todas as WAFs testadas (exceto AWS WAF, que não foi vulnerável nas configurações testadas) apresentaram vulnerabilidades. Os autores reportaram as falhas e receberam reconhecimento de todos os fornecedores, com recompensas de bug bounty de alguns (ex: Google Cloud Armor classificou como vulnerabilidade de prioridade alta).
• Eficácia da Mitigação: O HTTP-Normalizer foi capaz de bloquear ou normalizar 100% das tentativas de bypass testadas, demonstrando que a adesão estrita aos RFCs elimina essas vulnerabilidades.

5. Significância e Conclusão

O trabalho WAFFLED revela uma falha fundamental na arquitetura de segurança atual: a falta de consistência na interpretação de protocolos HTTP entre os componentes de defesa (WAF) e os componentes de execução (Frameworks).

• Risco Ampliado: A descoberta de que a maioria dos sites aceita múltiplos tipos de conteúdo de forma intercambiável significa que as técnicas de bypass descobertas são amplamente aplicáveis na prática.
• Mudança de Paradigma: A pesquisa sugere que a defesa contra evasão de WAF não deve depender apenas de regras de detecção mais complexas, mas sim da normalização estrita das requisições para garantir que a WAF e o backend "vejam" o mesmo dado.
• Solução Viável: A introdução do HTTP-Normalizer prova que é possível mitigar essas vulnerabilidades sem sacrificar a usabilidade, desde que se sigam rigorosamente os padrões RFC.

Em suma, o artigo demonstra que a segurança das WAFs é tão forte quanto o elo mais fraco na cadeia de parsing, e que a padronização rigorosa é a chave para fechar essas brechas de segurança.