Cloudflare non avrebbe bisogno di presentazioni, ma per chi non lo conoscesse basterà dire che è un servizio di reverse proxy DNS che consente di “mascherare” il reale IP di un sito filtrando tutte le richieste Web attraverso i propri server. Il filtraggio attraverso Cloudflare permette di usufruire già per la versione gratuita di servizi come la protezione da DDoS, spam, botnet etc.
Lo ha usato in passato (efficacemente) Lulzsec per lulzsecurity.com riuscendo a celare il proprio reale IP nonostante i tentativi di th3j35t3r. Lo sta usando in questi giorni un altro gruppo di cracker, UGNazi, che ha ben due siti (o forse di più) protetti da Cloudflare: ugnazi.com ugnazi.ru.
L’unica possibilità certa di conoscere il reale IP di un target è accedere alla zona DNS del dominio che si vuole individuare/colpire, impossibile al momento con mezzi leciti, ma possibile per esempio con un’attività di hacking mirata come quella attuata da UGNazi ai danni del CEO di Cloudflare, Matthew Prince.
Però esistono anche mezzi assolutamente leciti per “bypassare la protezione di Cloudflare” e individuare il reale IP del sito che si vuole colpire (anche se non è detto che la nostra attività sia mirata a “colpire”): il presupposto per la riuscita di questo metodo è che chi ha configurato i record DNS del dominio ne abbia lasciato qualcuno che punta direttamente al reale IP (come per esempio ha fatto il sottoscritto…), per esempio un sottodominio “ftp.nomedominio.com” oppure uno di quelli standard creati da Cloudflare per connettersi direttamente al proprio dominio, come per esempio “direct.nomedominio.com”. Per individuare questi sottodomini vulnerabili e trovare il nostro IP possiamo usare Nmap in questo modo:
nmap --script dns-brute -sn dominio_target
In questo caso usiamo uno script presente in Nmap, dns-brute per l’appunto. In alternativa si può ricorrere a un tool ad hoc per il subdomain bruteforcing come Knock dell’amico Gianni Amato.
Se non riusciamo a individuare record DNS interessanti nel modo descritto possiamo sperare che sia rimasta una traccia della storia dei DNS del dominio bersaglio, possiamo per esempio interrogare la toolbar di Netcraft via Web:
http://toolbar.netcraft.com/site_report?url=https://www.bufferoverflow.it
Non è detto però che ciò che troviamo in questo modo sia aggiornato, per esempio nel caso del mio dominio vengono elencati solo gli IP di Aruba, il primo hosting di bufferoverflow.it.
L’ultimo metodo, purtroppo a pagamento, è ricorrere a DomainTools effettuando una Whois History o ancor meglio una Hosting History che ci permetta di vedere la storia degli spostamenti di un dominio con relativi IP assegnati.