# Cloudflare Domains

{{#include ../../banners/hacktricks-training.md}}

U svakom TLD-u konfigurisanom u Cloudflare postoje neka **opšta podešavanja i usluge** koje se mogu konfigurisati. Na ovoj stranici ćemo **analizirati podešavanja vezana za sigurnost svake sekcije:**

<figure><img src="../../images/image (101).png" alt=""><figcaption></figcaption></figure>

### Pregled

- [ ] Steknite osećaj o **koliko** se usluga na računu **koristi**
- [ ] Takođe pronađite **zone ID** i **račun ID**

### Analitika

- [ ] U **`Sigurnosti`** proverite da li postoji **ograničenje brzine**

### DNS

- [ ] Proverite **zanimljive** (osetljive?) podatke u DNS **rekordima**
- [ ] Proverite **poddomene** koje bi mogle sadržati **osetljive informacije** samo na osnovu **imena** (kao što je admin173865324.domin.com)
- [ ] Proverite web stranice koje **nisu** **proksirane**
- [ ] Proverite **proksirane web stranice** koje se mogu **pristupiti direktno** putem CNAME-a ili IP adrese
- [ ] Proverite da li je **DNSSEC** **omogućen**
- [ ] Proverite da li se **CNAME Flattening** **koristi** u **svim CNAME-ima**
- Ovo može biti korisno za **sakrivanje ranjivosti preuzimanja poddomena** i poboljšanje vremena učitavanja
- [ ] Proverite da li domene [**nisu ranjive na spoofing**](https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-smtp/index.html#mail-spoofing)

### **Email**

TODO

### Spectrum

TODO

### SSL/TLS

#### **Pregled**

- [ ] **SSL/TLS enkripcija** treba da bude **Puna** ili **Puna (Stroga)**. Svaka druga će slati **saobraćaj u čistom tekstu** u nekom trenutku.
- [ ] **SSL/TLS Preporučivač** treba da bude omogućen

#### Edge Sertifikati

- [ ] **Uvek koristite HTTPS** treba da bude **omogućeno**
- [ ] **HTTP Stroga Transportna Bezbednost (HSTS)** treba da bude **omogućena**
- [ ] **Minimalna TLS verzija treba da bude 1.2**
- [ ] **TLS 1.3 treba da bude omogućen**
- [ ] **Automatska HTTPS Prepravka** treba da bude **omogućena**
- [ ] **Praćenje Transparentnosti Sertifikata** treba da bude **omogućeno**

### **Sigurnost**

- [ ] U sekciji **`WAF`** zanimljivo je proveriti da li se koriste **pravila vatrozida** i **ograničenja brzine** za sprečavanje zloupotreba.
- Akcija **`Zaobiđi`** će **onemogućiti Cloudflare sigurnosne** funkcije za zahtev. Ne bi trebala da se koristi.
- [ ] U sekciji **`Page Shield`** preporučuje se da proverite da li je **omogućena** ako se koristi neka stranica
- [ ] U sekciji **`API Shield`** preporučuje se da proverite da li je **omogućena** ako je neki API izložen u Cloudflare
- [ ] U sekciji **`DDoS`** preporučuje se omogućiti **DDoS zaštite**
- [ ] U sekciji **`Podešavanja`**:
- [ ] Proverite da li je **`Nivo sigurnosti`** **srednji** ili veći
- [ ] Proverite da li je **`Izazov Prolaz`** 1 sat maksimalno
- [ ] Proverite da li je **`Provera Integriteta Pregledača`** **omogućena**
- [ ] Proverite da li je **`Podrška za Privatnost Pass`** **omogućena**

#### **CloudFlare DDoS Zaštita**

- Ako možete, omogućite **Bot Fight Mode** ili **Super Bot Fight Mode**. Ako štitite neki API koji se pristupa programatski (na primer, sa JS front end stranice). Možda nećete moći da omogućite ovo bez prekidanja tog pristupa.
- U **WAF**: Možete kreirati **ograničenja brzine po URL putanji** ili za **verifikovane botove** (pravila ograničenja brzine), ili da **blokirate pristup** na osnovu IP, kolačića, referera...). Tako možete blokirati zahteve koji ne dolaze sa web stranice ili nemaju kolačić.
- Ako je napad od **verifikovanog bota**, barem **dodajte ograničenje brzine** za botove.
- Ako je napad na **specifičnu putanju**, kao mehanizam prevencije, dodajte **ograničenje brzine** na ovoj putanji.
- Takođe možete **dodati na belu listu** IP adrese, IP opsege, zemlje ili ASN-ove iz **Alata** u WAF-u.
- Proverite da li **Upravljana pravila** takođe mogu pomoći u sprečavanju eksploatacije ranjivosti.
- U sekciji **Alati** možete **blokirati ili dati izazov specifičnim IP-ovima** i **korisničkim agentima.**
- U DDoS-u možete **prepraviti neka pravila da ih učinite restriktivnijim**.
- **Podešavanja**: Postavite **Nivo sigurnosti** na **Visok** i na **Pod Napadom** ako ste Pod Napadom i da je **Provera Integriteta Pregledača omogućena**.
- U Cloudflare Domains -> Analitika -> Sigurnost -> Proverite da li je **ograničenje brzine** omogućeno
- U Cloudflare Domains -> Sigurnost -> Događaji -> Proverite za **otkrivene zlonamerne Događaje**

### Pristup

{{#ref}}
cloudflare-zero-trust-network.md
{{#endref}}

### Brzina

_Nisam mogao pronaći nijednu opciju vezanu za sigurnost_

### Keširanje

- [ ] U sekciji **`Konfiguracija`** razmotrite omogućavanje **CSAM Alata za Skener**

### **Workers Rute**

_Već ste trebali proveriti_ [_cloudflare workers_](#workers)

### Pravila

TODO

### Mreža

- [ ] Ako je **`HTTP/2`** **omogućen**, **`HTTP/2 do Origin`** treba da bude **omogućen**
- [ ] **`HTTP/3 (sa QUIC)`** treba da bude **omogućen**
- [ ] Ako je **privatnost** vaših **korisnika** važna, uverite se da je **`Onion Routing`** **omogućen**

### **Saobraćaj**

TODO

### Prilagođene Stranice

- [ ] Opcionalno je konfigurisati prilagođene stranice kada se aktivira greška vezana za sigurnost (kao što su blokada, ograničenje brzine ili sam pod napadom)

### Aplikacije

TODO

### Scrape Shield

- [ ] Proverite da li je **Obfuscation Email Adresa** **omogućena**
- [ ] Proverite da li su **Isključenja na Serveru** **omogućena**

### **Zaraz**

TODO

### **Web3**

TODO

{{#include ../../banners/hacktricks-training.md}}
