SSRF
La falsificación de peticiones del lado del servidor (SSRF) ocurre cuando atacantes inducen al servidor a hacer peticiones a servicios de intranet/metadatos, accediendo a recursos internos que no deberían exponerse.
Propósito
Comprender el SSRF causado por peticiones HTTP del lado del servidor controlables por el usuario y sus defensas; una vulnerabilidad de alto riesgo en entornos cloud.
Mecanismo
El programa obtiene una URL especificada por el usuario vía fetch(user_url); el atacante suministra http://169.254.169.254/ para que el servidor consulte el endpoint de metadatos de la nube y filtre credenciales. Defensas: listas blancas de URL, bloqueo de intranet, filtrado de respuestas.
Casos de uso
- Fuga de metadatos de la nube
- Defensa contra sondeo de intranet
- Seguridad de peticiones del lado del servidor
Herramientas relacionadas
Analizador de URL
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Gratis, privado y 100% del lado del cliente. HERRAMIENTA
Referencia de códigos de estado HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratis, privado y 100% del lado del cliente. HERRAMIENTA