Подделка серверного запроса (SSRF)
Определение
Подделка серверного запроса (SSRF) — уязвимость, при которой злоумышленник управляет адресом или другой существенной частью сетевого запроса, выполняемого сервером.
Также ищут: Server-side request forgery · SSRF · принудительный запрос сервера · forced backend request
Зачем это знать
Сервер часто имеет доступ к внутренним службам, узлам метаданных и учётным данным, недоступным внешнему клиенту.
Карта понятия
Что подтверждено
При SSRF приложение само выступает сетевым клиентом и отправляет запрос по адресу, выбранному злоумышленником, в том числе во внутреннюю сеть.
Граница применимости: Серверные сетевые запросы приложения.
Правила CORS и SOP применяет браузер; они не ограничивают сетевой запрос, который серверный код выполняет самостоятельно.
Граница применимости: Различие между правилами браузера и серверным запросом.
Что проверить
- Не принимайте полный URL без необходимости.
- Разрешайте только заранее известные адреса.
- Запретите перенаправления и обращения во внутренние сети.
Первоисточники
- Server Side Request Forgery Prevention Cheat Sheet
Описывает SSRF, allowlist destinations, IP/domain validation, DNS risks и запрет автоматических redirects.
Утверждения: 01
- Server Side Request Forgery Prevention Cheat Sheet
Описывает SSRF, allowlist destinations, IP/domain validation, DNS risks и запрет автоматических redirects.
Утверждения: 02
- Fetch Standard
Определяет CORS protocol, credentials modes, allowed origins и CORS-preflight fetch через OPTIONS.
Утверждения: 02
- The Web Origin Concept
Определяет origin как scheme, host и port и описывает origin-based browser isolation model.
Утверждения: 02