SSRF заставляет сервер обращаться по адресу, выбранному атакующим, в том числе к внутренним сервисам. Проверять нужно не только строку URL, но и фактическое сетевое назначение.
Защита от SSRF: проверка URL и сетевого назначения
SSRF заставляет сервер обращаться по адресу, выбранному атакующим, в том числе к внутренним сервисам. Проверять нужно не только строку URL, но и фактическое сетевое назначение.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
SSRF заставляет сервер обращаться по адресу, выбранному атакующим, в том числе к внутренним сервисам. Проверять нужно не только строку URL, но и фактическое сетевое назначение.
Разрешайте нужные схемы, порты и по возможности домены allowlist; отклоняйте credentials и неоднозначные формы. Проверяйте все разрешённые DNS-адреса, блокируйте служебные/внутренние диапазоны и защищайтесь от rebinding между проверкой и подключением. Redirect лучше отключить либо повторять проверки на каждом шаге. Egress-политика, лимиты ответа и тайм-ауты дополняют валидацию.
Источник: cheatsheetseries.owasp.org.