FixVibe
Covered by FixVibehigh

Аялуулукту изилдөө: SSRF жана коопсуздук темасынын шайкештиги

Бул изилдөө макаласында Server-Side Request Forgery (SSRF) жана HTTP коопсуздук аталышын сактоонун маанилүүлүгү каралат. PortSwigger жана Mozillaдан алынган түшүнүктөрдү колдонуп, биз автоматташтырылган сканерлөө бул кемчиликтерди кантип аныктаарын жана FixVibe окшош аныктоо мүмкүнчүлүктөрүн кантип ишке ашыра аларын изилдейбиз.

CWE-918

Таасири

Сервер тараптын өтүнүчүн жасалмалоо (SSRF) – бул чабуулчуга [S1] күтүлбөгөн жерге суроо-талаптарды жасоо үчүн сервердик тиркемени индукциялоого мүмкүндүк берген маанилүү аялуу. Бул сезимтал ички кызматтардын ачыкка чыгышына, булуттун метадайындарынын акыркы чекиттерине уруксатсыз кирүүгө же [S1] тармактык брандмауэрлерин айланып өтүүгө алып келиши мүмкүн.

Негизги себеп

SSRF адатта колдонмо колдонуучу тарабынан берилген URL'дерди адекваттуу валидациясыз иштеткенде пайда болот, бул серверди [S1] зыяндуу суроо-талаптары үчүн прокси катары колдонууга мүмкүндүк берет. Активдүү кемчиликтерден тышкары, сайттын жалпы коопсуздук абалына анын HTTP баш конфигурациялары [S2] катуу таасир этет. 2016-жылы ишке киргизилген Mozilla's HTTP Observatory [S2] потенциалдуу коопсуздук кемчиликтерин аныктоо жана чечүү аркылуу администраторлорго бул жалпы коркунучтарга каршы коргонуусун бекемдөөгө жардам берүү үчүн 6,9 миллиондон ашуун веб-сайттарды талдады.

FixVibe аны кантип сынайт

FixVibe буга чейин бул изилдөө темасынын эки бөлүгүн камтыйт:

  • Дарбазаланган SSRF ырастоо: active.blind-ssrf текшерилген активдүү сканерлердин ичинде гана иштейт. Ал издөө учурунда табылган URL түрүндөгү параметрлерге жана SSRF-тиешелүү аталыштарга чектелген тилкеден тышкаркы кайра чалуу канарияларын жөнөтөт, андан кийин FixVibe ошол скандоо менен байланышкан кайра чалууну кабыл алганда гана маселени билдирет.
  • Белгилердин шайкештиги: headers.security-headers сайттын жооп аталыштарын обсерватория стилиндеги сын-пикирлер баса белгилеген браузерди катуулатуучу башкаруу элементтерин пассивдүү түрдө текшерет, анын ичинде CSP, HSTS, X-Options, X- X-Content-Type-Options, Referrer-Policy, жана Уруксат-Саясат.

SSRF иликтөө кыйратуучу суроо-талаптарды же аутентификацияланган кирүүнү талап кылбайт. Ал текшерилген максаттарга багытталган жана бир гана параметр аталыштарынан эмес, кайра чалуунун конкреттүү далилдери жөнүндө отчет берет.