SSRF
Server-Side Request Forgery (SSRF) bedeutet, dass Angreifer den Server dazu bringen, Anfragen an Intranet-/Metadatendienste zu stellen und auf interne Ressourcen zuzugreifen, die nicht exponiert sein sollten.
Zweck
SSRF durch kontrollierbare serverseitige HTTP-Anfragen und ihre Abwehr verstehen; eine Hochrisiko-Schwachstelle in Cloud-Umgebungen.
Mechanismus
Das Programm ruft eine benutzerdefinierte URL per fetch(user_url) ab; der Angreifer übergibt http://169.254.169.254/, sodass der Server den Cloud-Metadaten-Endpoint abfragt und Zugangsdaten leakt. Abwehr: URL-Whitelists, Intranet-Sperrung, Antwortfilterung.
Anwendungsfälle
- Cloud-Metadaten-Leak
- Abwehr von Intranet-Sondierung
- Sicherheit serverseitiger Anfragen
Verwandte Tools
URL-Parser
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Kostenlos, privat und 100% clientseitig. WERKZEUG
HTTP-Statuscodes-Referenz
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Kostenlos, privat und 100% clientseitig. WERKZEUG