kompozit · edukator režim · za predavanje i PDF
Falsifikovanje zahteva sa serveraSSRF
Pretnja u centru, tehnike kojima se izvodi levo, odbrane koje je suzbijaju desno. Ispod — mapa faza napada: kojom tehnikom se ulazi i koja odbrana je presreće.
↘ Tehnike kojima se izvodi3
Tehnike kojima se izvodi. Klik vodi na stranicu pojma.
pretnja · № 045 · aplikacije
Falsifikovanje zahteva sa serveraSSRF
SSRF je ranjivost u kojoj napadač navodi veb server da pošalje zahtev na adresu koju napadač bira. Razlika je važna: zahtev ne šalje korisnikov pregledač, nego server. Na taj način se otvaraju vrata ka internim servisima koji bi spolja trebalo da ostanu nevidljivi.
↓ mapa faza · kojom tehnikom se ulazi, koja odbrana presreće
faza · ubacivanje · tehnika
URL ili adresa kroz parametar koji server obrađuje
presreće · odbrana
Validacija unosa · allowlist odredišta · zabrana privatnih opsega
faza · pristup · tehnika
Server poziva interne servise, lokalne adrese ili metadata endpoint
presreće · odbrana
Segmentacija · blokiranje metadata pristupa · least privilege
faza · izvlačenje · tehnika
Čitanje internih odgovora, tokena ili konfiguracije
presreće · odbrana
Monitoring egress saobraćaja · WAF · cloud hardening