FixVibe
Covered by FixVibehigh

Ievainojamības izpēte: SSRF un drošības galvenes atbilstība

Šajā pētnieciskajā rakstā aplūkota servera puses pieprasījumu viltošana (SSRF) un HTTP drošības galvenes atbilstības nozīme. Izmantojot PortSwigger un Mozilla ieskatus, mēs izpētām, kā automatizētā skenēšana identificē šīs ievainojamības un kā FixVibe varētu ieviest līdzīgas noteikšanas iespējas.

CWE-918

Ietekme

Servera puses pieprasījumu viltošana (SSRF) ir kritiska ievainojamība, kas ļauj uzbrucējam pamudināt servera puses lietojumprogrammu veikt pieprasījumus uz neparedzētu vietu [S1]. Tas var izraisīt sensitīvu iekšējo pakalpojumu atklāšanu, nesankcionētu piekļuvi mākoņa metadatu galapunktiem vai tīkla ugunsmūru apiešanu [S1].

Galvenais cēlonis

SSRF parasti rodas, ja lietojumprogramma apstrādā lietotāja nodrošinātos vietrāžus URL bez atbilstošas validācijas, ļaujot serveri izmantot kā starpniekserveri ļaunprātīgiem pieprasījumiem. [S1]. Papildus aktīvajiem trūkumiem vietnes vispārējo drošības stāvokli lielā mērā ietekmē tās HTTP galvenes konfigurācijas [S2]. Mozillas HTTP observatorija, kas tika izveidota 2016. gadā, ir analizējusi vairāk nekā 6,9 miljonus vietņu, lai palīdzētu administratoriem stiprināt aizsardzību pret šiem izplatītajiem draudiem, identificējot un novēršot iespējamās drošības ievainojamības [S2].

Kā FixVibe to pārbauda

FixVibe jau aptver abas šī pētījuma tēmas daļas:

  • Slēgtā SSRF apstiprinājums: active.blind-ssrf darbojas tikai pārbaudītu aktīvo skenēšanas laikā. Tas nosūta ierobežotus ārpusjoslas atzvanīšanas kanārijputnus URL formas parametros un SSRF attiecīgās galvenes, kas atklātas pārmeklēšanas laikā, un pēc tam ziņo par problēmu tikai tad, kad FixVibe saņem ar šo skenēšanu saistītu atzvanīšanu.
  • Atbilstība galvenēm: headers.security-headers pasīvi pārbauda vietnes atbilžu galvenes, lai atrastu tās pašas pārlūkprogrammas sacietēšanas vadīklas, kas uzsvērtas observatorijas stila pārskatos, tostarp CSP, HSTS, X-Fra, Xpe-Otenptions, T-Fra. Referrer-Policy un Permissions-Policy.

SSRF zondei nav nepieciešami destruktīvi pieprasījumi vai autentificēta piekļuve. Tas attiecas uz pārbaudītiem mērķiem un ziņo par konkrētiem atzvanīšanas pierādījumiem, nevis uzminē tikai no parametru nosaukumiem.