SSRF — כשמשכנעים את השרת לפנות למקום אסור

SSRF (Server-Side Request Forgery) הוא כשתוקף גורם לשרת לבצע בקשת רשת לכתובת שהתוקף בוחר.

דוגמה

אפליקציה שמאפשרת "טען תמונה מ-URL". התוקף נותן במקום תמונה:
http://169.254.169.254/latest/meta-data/
זו כתובת פנימית של שירותי ענן (AWS metadata) — והשרת, שיש לו גישה אליה, מחזיר לתוקף מפתחות גישה לענן. 💥

למה זה כל כך מסוכן?

השרת נמצא בתוך הרשת הפנימית. דרכו תוקף יכול:

• לגשת לשירותים פנימיים שחומת האש חוסמת מבחוץ.
• לגנוב credentials של הענן (כמו בדוגמה).
• לסרוק את הרשת הפנימית.

הגנות

• רשימת היתר (allowlist) לכתובות שמותר לפנות אליהן.
• חסימת כתובות פנימיות (127.0.0.1, 169.254.x, רשתות פרטיות).
• הגבלת הרשאות השרת (least privilege) ושימוש ב-IMDSv2 בענן.

SSRF טיפס לראש OWASP Top 10 דווקא בגלל הענן — שם בקשה "תמימה" יכולה לחשוף את הממלכה.