Sunucu tarafı istek sahteciliği (SSRF)

Sunucu tarafı istek sahteciliği, kısaca SSRF, uygulamanın kötüye kullanılarak sunucusuna öngörülmeyen hedeflere istek göndertilmesidir. Sunucunun ağ erişimi, girdiyi sağlayan kişinin erişiminden farklı olabilir. Böylece örneğin dışarıdan doğrudan erişilemeyen iç hizmetlere ulaşılabilir.

Hedefi dışarıdan gelen belge önizlemesi

Kurgusal bir proje portalı, önizleme için previewTarget alanındaki adresten belge indirir. Adres incelenmeden kullanılırsa önizleme işlevi istenmeyen erişimlere aracı olabilir. Sorun burada, belgenin daha sonra gösterilmesinden önce, sunucunun belgeyi istemesindedir. Yanıtın içeriği geri gönderilmese bile bu çağrıların istenmeyen etkileri olabilir.

Portalın bu sürümünde önizleme yalnız bilinen belge kaynakları içindir. Bu nedenle uygulama, her hedefi kabul etmek yerine izin verilen kaynakları sabit belirleyebilir. Bu sınırlama ancak işlev gerçekten bilinen kaynaklarla sınırlandırılabiliyorsa uygundur.

Hedef kontrolüyle ağ sınırını birlikte ele almak

MDN ve OWASP, uygulama ve ağ katmanlarında korumayı açıklar. Yalnız yazılan ana makine adını kontrol etmek yetmez: Çözümlenen hedef adresler ve gerçekte kurulan bağlantı da izin verilen hedef kuralına uymalıdır. Yönlendirmeler hedefi değiştirebilir ve kontrolü aşmamalıdır.

Hizmet yalnız görevinin gerektirdiği ağ erişimlerine ihtiyaç duyar. Protokol ve hedef sınırlamaları, kontrollü yönlendirmeler ve sınırlı ağ yetkileri birlikte işler. Yalnız HTTPS kullanılması hedefi izinli yapmaz. Portal öyküsü güven sınırını açıklar; gerçekleştirilmiş indirme veya güvenlik testi raporu değildir.

Kaynaklar

• MDN — Server Side Request Forgery (SSRF)

• OWASP — Server-Side Request Forgery Prevention Cheat Sheet