FixVibe
Covered by FixVibehigh

ການຄົ້ນຄວ້າຄວາມອ່ອນແອ: SSRF ແລະການປະຕິບັດຕາມຫົວຂໍ້ຄວາມປອດໄພ

ບົດ​ຄວາມ​ຄົ້ນ​ຄວ້າ​ນີ້​ກວດ​ສອບ Server-Side Request Forgery (SSRF) ແລະ​ຄວາມ​ສໍາ​ຄັນ​ຂອງ HTTP header ການ​ປະ​ຕິ​ບັດ​ຕາມ​ຄວາມ​ປອດ​ໄພ. ການນໍາໃຊ້ຄວາມເຂົ້າໃຈຈາກ PortSwigger ແລະ Mozilla, ພວກເຮົາຄົ້ນຫາວິທີການສະແກນອັດຕະໂນມັດກໍານົດຈຸດອ່ອນເຫຼົ່ານີ້ແລະວິທີການ FixVibe ສາມາດປະຕິບັດຄວາມສາມາດໃນການກວດພົບທີ່ຄ້າຍຄືກັນ.

CWE-918

ຜົນກະທົບ

Server-Side Request Forgery (SSRF) ເປັນຊ່ອງໂຫວ່ທີ່ສຳຄັນທີ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສາມາດຊັກຊວນໃຫ້ແອັບພລິເຄຊັນຂ້າງເຊີບເວີເຮັດການຮ້ອງຂໍໄປຍັງສະຖານທີ່ທີ່ບໍ່ໄດ້ຕັ້ງໃຈ [S1]. ນີ້ສາມາດນໍາໄປສູ່ການເປີດເຜີຍຂອງການບໍລິການພາຍໃນທີ່ລະອຽດອ່ອນ, ການເຂົ້າເຖິງເມຕາດາຕາຂອງເມຕາດາຕາຂອງຄລາວໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດ, ຫຼືການຂ້າມໄຟວໍເຄືອຂ່າຍ [S1].

ສາເຫດ

SSRF ໂດຍທົ່ວໄປແລ້ວເກີດຂຶ້ນເມື່ອແອັບພລິເຄຊັນປະມວນຜົນ URL ທີ່ສະໜອງໃຫ້ໂດຍຜູ້ໃຊ້ໂດຍບໍ່ມີການກວດສອບທີ່ພຽງພໍ, ອະນຸຍາດໃຫ້ເຊີບເວີໃຊ້ເປັນພຣັອກຊີສໍາລັບຄໍາຮ້ອງຂໍທີ່ເປັນອັນຕະລາຍ [S1]. ນອກເຫນືອຈາກຂໍ້ບົກພ່ອງທີ່ມີການເຄື່ອນໄຫວ, ທ່າທາງຄວາມປອດໄພໂດຍລວມຂອງເວັບໄຊໃດຫນຶ່ງແມ່ນມີອິດທິພົນຢ່າງຫຼວງຫຼາຍໂດຍການຕັ້ງຄ່າສ່ວນຫົວ HTTP [S2] ຂອງມັນ. ເປີດຕົວໃນປີ 2016, Mozilla's HTTP Observatory ໄດ້ວິເຄາະຫຼາຍກວ່າ 6.9 ລ້ານເວັບໄຊທ໌ເພື່ອຊ່ວຍໃຫ້ຜູ້ບໍລິຫານເສີມສ້າງການປ້ອງກັນຂອງເຂົາເຈົ້າຕໍ່ກັບໄພຂົ່ມຂູ່ທົ່ວໄປເຫຼົ່ານີ້ໂດຍການກໍານົດແລະແກ້ໄຂຄວາມສ່ຽງດ້ານຄວາມປອດໄພທີ່ເປັນໄປໄດ້ [S2].

ວິທີການ FixVibe ທົດສອບສໍາລັບມັນ

FixVibe ແລ້ວກວມເອົາທັງສອງພາກສ່ວນຂອງຫົວຂໍ້ການຄົ້ນຄວ້ານີ້:

  • ການຢືນຢັນ SSRF Gated: active.blind-ssrf ແລ່ນຢູ່ໃນການສະແກນທີ່ຢືນຢັນແລ້ວເທົ່ານັ້ນ. ມັນສົ່ງ canaries callback out-of-band bounded ເຂົ້າໄປໃນຕົວກໍານົດການຂອງ URL ແລະ SSRF-relevant headers ຄົ້ນພົບໃນລະຫວ່າງການລວບລວມຂໍ້ມູນ, ຫຼັງຈາກນັ້ນລາຍງານບັນຫາພຽງແຕ່ເມື່ອ FixVibe ໄດ້ຮັບການ callback ທີ່ກ່ຽວຂ້ອງກັບການສະແກນນັ້ນ.
  • ການປະຕິບັດຕາມສ່ວນຫົວ: headers.security-headers passively check the sites response headers for the same browser-hardening controls focused by Observatory-style reviews, including CSP, HSTS, X-Frame-Options-Options, ນະໂຍບາຍຜູ້ອ້າງອີງ, ແລະການອະນຸຍາດ-ນະໂຍບາຍ.

ການສືບສວນ SSRF ບໍ່ຕ້ອງການການຮ້ອງຂໍທີ່ທໍາລາຍຫຼືການເຂົ້າເຖິງການກວດສອບ. ມັນມີຂອບເຂດຕໍ່ກັບເປົ້າໝາຍທີ່ຢືນຢັນແລ້ວ ແລະລາຍງານຫຼັກຖານການເອີ້ນຄືນຕົວຈິງແທນທີ່ຈະຄາດເດົາຈາກຊື່ພາລາມິເຕີຢ່າງດຽວ.