اثر
سرور سائیڈ درخواست کی جعلسازی (SSRF) ایک اہم خطرہ ہے جو حملہ آور کو سرور سائیڈ ایپلی کیشن کو کسی غیر ارادی جگہ [S1] پر درخواستیں کرنے کی اجازت دیتا ہے۔ یہ حساس داخلی خدمات کی نمائش، کلاؤڈ میٹا ڈیٹا اینڈ پوائنٹس تک غیر مجاز رسائی، یا نیٹ ورک فائر والز [S1] کو نظرانداز کرنے کا باعث بن سکتا ہے۔
بنیادی وجہ
SSRF عام طور پر اس وقت ہوتا ہے جب کوئی ایپلیکیشن صارف کے فراہم کردہ یو آر ایل پر مناسب توثیق کے بغیر کارروائی کرتی ہے، جس سے سرور کو نقصان دہ درخواستوں کے لیے پراکسی کے طور پر استعمال کیا جا سکتا ہے [S1]۔ فعال خامیوں سے ہٹ کر، کسی سائٹ کی مجموعی سیکیورٹی پوزیشن اس کے HTTP ہیڈر کنفیگریشنز [S2] سے بہت زیادہ متاثر ہوتی ہے۔ 2016 میں شروع کی گئی، Mozilla کی HTTP آبزرویٹری نے 6.9 ملین سے زیادہ ویب سائٹس کا تجزیہ کیا ہے تاکہ منتظمین کو ان مشترکہ خطرات کے خلاف اپنے دفاع کو مضبوط بنانے میں مدد کی جا سکے اور ممکنہ حفاظتی کمزوریوں کی نشاندہی اور ان سے نمٹنے کے لیے [S2]۔
FixVibe اس کے لیے کیسے ٹیسٹ کرتا ہے۔
FixVibe پہلے ہی اس تحقیقی موضوع کے دونوں حصوں کا احاطہ کرتا ہے:
- گیٹڈ SSRF تصدیق:
active.blind-ssrfصرف تصدیق شدہ فعال اسکینوں کے اندر چلتا ہے۔ یہ باؤنڈڈ آؤٹ آف بینڈ کال بیک کینریز کو URL کے سائز کے پیرامیٹرز اور SSRF- متعلقہ ہیڈرز میں بھیجتا ہے جو کرال کے دوران دریافت ہوتا ہے، پھر اس مسئلے کی اطلاع صرف اس وقت دیتا ہے جب FixVibe کو اس اسکین سے منسلک کال بیک موصول ہوتا ہے۔ - ہیڈر کی تعمیل:
headers.security-headersغیر فعال طور پر سائٹ کے رسپانس ہیڈرز کو ان ہی براؤزر کے سخت کرنے والے کنٹرولز کے لیے چیک کرتا ہے جس پر آبزرویٹری طرز کے جائزوں کے ذریعے زور دیا گیا ہے، بشمول CSP، HSTS، XXCVFIXVIBETOKEN2ZFCV X-Content-Type-Options، referrer-policy، and permissions-policy۔
SSRF تحقیقات کو تباہ کن درخواستوں یا تصدیق شدہ رسائی کی ضرورت نہیں ہے۔ اس کا دائرہ صرف پیرامیٹر کے ناموں سے اندازہ لگانے کے بجائے تصدیق شدہ اہداف اور ٹھوس کال بیک شواہد کی رپورٹ تک ہے۔