FixVibe
Covered by FixVibehigh

Istraživanje ranjivosti: SSRF i usklađenost sa sigurnosnim zaglavljem

Ovaj istraživački članak ispituje krivotvorenje zahtjeva na strani poslužitelja (SSRF) i važnost usklađenosti HTTP sigurnosnih zaglavlja. Koristeći uvide iz PortSwiggera i Mozille, istražujemo kako automatizirano skeniranje identificira ove ranjivosti i kako bi FixVibe mogao implementirati slične mogućnosti otkrivanja.

CWE-918

Utjecaj

Krivotvorenje zahtjeva na strani poslužitelja (SSRF) kritična je ranjivost koja napadaču omogućuje da navede aplikaciju na strani poslužitelja da šalje zahtjeve prema neželjenoj lokaciji [S1]. To može dovesti do izlaganja osjetljivih internih usluga, neovlaštenog pristupa krajnjim točkama metapodataka u oblaku ili zaobilaženja mrežnih vatrozida [S1].

Glavni uzrok

SSRF obično se događa kada aplikacija obrađuje URL-ove koje je donio korisnik bez odgovarajuće provjere valjanosti, dopuštajući poslužitelju da se koristi kao proxy za zlonamjerne zahtjeve [S1]. Osim aktivnih nedostataka, na cjelokupno sigurnosno stanje web-mjesta uvelike utječu njegove konfiguracije HTTP zaglavlja [S2]. Pokrenut 2016., Mozillin HTTP opservatorij analizirao je više od 6,9 milijuna web stranica kako bi pomogao administratorima da ojačaju svoju obranu od ovih uobičajenih prijetnji identificiranjem i rješavanjem potencijalnih sigurnosnih propusta [S2].

Kako FixVibe to testira

FixVibe već pokriva oba dijela ove istraživačke teme:

  • Gated SSRF potvrda: active.blind-ssrf radi samo unutar potvrđenih aktivnih skeniranja. Šalje ograničene izvanpojasne povratne pozive u parametre u obliku URL-a i SSRF-relevantna zaglavlja otkrivena tijekom indeksiranja, zatim prijavljuje problem samo kada FixVibe primi povratni poziv povezan s tim skeniranjem.
  • Usklađenost zaglavlja: headers.security-headers pasivno provjerava zaglavlja odgovora web-mjesta za iste kontrole očvršćavanja preglednika koje naglašavaju recenzije u stilu Opservatorija, uključujući CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Pravila preporuke i Pravila dopuštenja.

SSRF sonda ne zahtijeva destruktivne zahtjeve ili autentificirani pristup. Namijenjen je provjerenim ciljevima i izvješćuje o konkretnim dokazima o povratnom pozivu umjesto nagađanja samo iz naziva parametara.