FixVibe
Covered by FixVibehigh

Gowşaklygy öwrenmek: SSRF we Howpsuzlyk sözbaşysynyň laýyklygy

Bu gözleg makalasy Serwer-Side haýyş galplygy (SSRF) we HTTP howpsuzlyk sözbaşysynyň berjaý edilmeginiň ähmiýetini öwrenýär. PortSwigger we Mozilla-dan alnan düşünjeleri ulanyp, awtomatiki skanirlemegiň bu gowşak taraplary nädip kesgitleýändigini we FixVibe şuňa meňzeş kesgitleme mümkinçiliklerini nädip durmuşa geçirip biljekdigini öwrenýäris.

CWE-918

Täsir

Serwer-tarap haýyş galplygy (SSRF), hüjümçä serwer tarapyndaky programmany [S1] isleg bildirmäge mümkinçilik berýän möhüm gowşaklykdyr. Bu duýgur içerki hyzmatlaryň täsirine, bulut metadata ahyrky nokatlaryna rugsatsyz girilmegine ýa-da [S1] tor diwar diwarlarynyň aýlanyp geçmegine sebäp bolup biler.

Kök sebäp

SSRF, adatça, bir programma ulanyjy tarapyndan üpjün edilen URL-leri ýeterlik tassyklamasyz işlese, serweri [S1] zyýanly haýyşlar üçin proksi hökmünde ulanmaga mümkinçilik berýän mahaly ýüze çykýar. Işjeň kemçiliklerden başga-da, sahypanyň umumy howpsuzlyk ýagdaýy, HTTP sözbaşy konfigurasiýalaryna [S2] täsir edýär. 2016-njy ýylda işe girizilen Mozillanyň HTTP obserwatoriýasy, [S2] howpsuzlyk potensial gowşaklyklaryny ýüze çykarmak we çözmek arkaly dolandyryjylara bu umumy howplardan goranmaklaryny güýçlendirmek üçin 6,9 milliondan gowrak web sahypasyny seljerdi.

FixVibe munuň üçin nädip synag edýär

FixVibe eýýäm bu gözleg mowzugynyň iki bölegini öz içine alýar:

  • Derwezeli SSRF tassyklama : active.blind-ssrf diňe barlanan işjeň skanerleriň içinde işleýär. Çyzykdan daşary çagyryş kanarlaryny URL görnüşindäki parametrlere we gözleg wagtynda ýüze çykarylan SSRF degişli sözbaşylara iberýär, soň diňe FixVibe şol skaner bilen baglanyşykly jaň alanda habar berýär.

** Rugsatlar-syýasat.

SSRF gözleg weýran ediji haýyşlary ýa-da tassyklanan girişi talap etmeýär. Diňe parametrleriň atlaryndan çaklamak däl-de, barlanylan nyşanlara we takyk yzyna çagyryş subutnamalaryna hasabat berilýär.