Добро пожаловать на BlackSAMP - ФОРУМ

[IlyaMarkinV]

Всем привет!

Сегодня разберём SSRF — уязвимость, которая позволяет злоумышленнику заставить сервер делать HTTP-запросы от своего имени.


Что такое SSRF?
Server-Side Request Forgery — это когда злоумышленник может отправить с сервера произвольный запрос (например, к внутренней сети или облачным метаданным).

Чем опасен SSRF?

- Чтение внутренних сервисов (базы данных, Redis, Jenkins)
- Обход файервола (атака на localhost или 127.0.0.1)
- Кража данных из облачных метаданных (AWS, Google Cloud, Azure)
- Взаимодействие с уязвимыми внутренними API


Пример уязвимого кода
Допустим, есть сервис, который загружает изображение по URL:

python
from flask import Flask, request
import requests

app = Flask(__name__)

@app.route('/fetch_image')
def fetch_image():
    url = request.args.get('url') # Уязвимость!
    response = requests.get(url)
    return response.content

Злоумышленник может передать вместо URL:

-

http://localhost/admin

(доступ к внутренней админке)
-

file:///etc/passwd

(чтение системных файлов)
-

http://169.254.169.254/latest/meta-data/

(AWS-метаданные)


Реальные сценарии атак

1. Облачные метаданные (AWS, Azure, GCP)
В облачных сервисах есть специальные IP-адреса для управления виртуальными машинами:

- AWS:

http://169.254.169.254/latest/meta-data/

- Google Cloud:

http://metadata.google.internal/computeMetadata/v1/

- Azure:

http://169.254.169.254/metadata/instance

Если сервер работает в облаке, злоумышленник может украсть ключи API, токены IAM и даже получить shell.

2. Атака на внутренние сервисы
Если сервер находится в корпоративной сети, можно:

- Сканировать порты (

http://internal-db:3306

)
- Эксплуатировать уязвимые внутренние сервисы (Redis, Jenkins, MongoDB)
- Провести RCE через уязвимые внутренние API

3. Blind SSRF (слепая атака)
Если ответ не возвращается, но запрос выполняется, можно:

- Использовать DNS-логгеры (Burp Collaborator, interact.sh)
- Запускать таймерные атаки (например,

http://internal-service:8080?delay=5000ms

)


Как защититься?

1. Валидация URL

- Запрещать

localhost

,

127.0.0.1

,

file://

,

gopher://

- Разрешать только белые списки доменов

python
allowed_domains = ['example.com', 'trusted-cdn.net']
if not any(url.startswith(f'http://{domain}') for domain in allowed_domains):
    raise ValueError("URL not allowed")

2. Использование "защищённых" HTTP-клиентов

- Python:

requests

+

no_proxy=True

- Node.js:

axios

с отключенным

followRedirects

3. Облачные защиты

- AWS:

IMDSv2

(требует заголовок

X-aws-ec2-metadata-token

)
- Kubernetes: Ограничение доступа к

metadata-dns

4. WAF и сетевые ограничения

- Блокировать запросы к внутренним IP-адресам
- Использовать Cloudflare, AWS Shield


Вывод
SSRF — одна из самых недооценённых уязвимостей. Она может привести к полному компрометированию инфраструктуры, особенно в облачных средах.