跳到主要內容

[網路安全]SSRF

SSRF: Server Side Request Forgery

服務端請求偽造。

攻擊者構造形成看似由服務器發起請求的一個安全漏洞。基本上，SSRF的目標是外網無法Access的內部系統。


SSRF如何產生?

SSRF形成原因大多是server side從其他server應用獲取data時沒有對於目標位址做過濾跟限制。
比如說從指定的URL獲取了response，像是內容、圖片、下載等等。

當一個可以接受URL的API沒有對URL進行過濾時，那麼駭客可以利用URL的response去探測內網。

SSRF的出現情境

1. 社交分享功能: 獲取超連結的標題與內容並進行顯示。
2. 轉碼服務: 通過URL地址把原地址的網頁內容調優使它適合手機閱覽(內容重新矲版整理)
3. 網頁翻譯: 將網址的網頁內容做文字翻譯
4. 圖片加載/下載: 通過URL在網頁的文本編輯器裡面顯示圖片或下載圖片
5. 圖片/文章收藏功能: 和1的情境差不多
6. 雲端服務: 雲端server可以由遠端執行命令來判斷網站是否存活，如果可以捕獲相應的訊息，就可以進行SSRF
7. 網站採集: 有些網站會對你輸入的URL進行一些訊息採集的工作
8. Database的內置功能: database中像是copy database的function
9. Mail System: 比如接收郵件服務器的位址
10 從遠端伺服器請求資源

SSRF的應對之道

1. 過濾response訊息:如果API要獲取某一種類型的訊息，再獲取response時需要先去過濾它是否符合標準。

2. 統一錯誤訊息

3. 設置URL白名單或是gethostbyname()判斷是否為內網IP
4. 限制請求的端口(Port)，如限制為80, 443, 8080, 8090
5. 禁止跳轉
6. 進用不需要的協議(僅允許http和https請求)
標籤：

留言

張貼留言

這個網誌中的熱門文章

[UML]學習筆記-循序圖型(Sequence Diagrams)-8

定義 如果說之前提到的物件圖型是描述一個時間點的系統運作的樣子(memory snapshot)，那麼循序圖型就是表示系統要做某件事情的那段時間內，運作的樣子(一個連續的過程)。 循序圖的重點是在描述一件事情，以及系統要完成這件事情的一連串動作，也是一種軟體系統運作的動態圖型。 上圖就是一個循序圖型，而有下圖的解析。循序圖會以做的動作(任務)出發，並列出所以參與到的物件/類別。接下來由上到下就是動作與物件彼此間的順序運作關係。下圖可以清楚展示出物件與類別/任務的互動關係。 循序圖組成的元素 有以下元素組成 -物件節點(Object Node) -生命線(Lifeline) -活化區塊(Activation Box) -訊息(Message) -內部訊息 -解構物件 -迴圈 要建構循序圖，必須要確定要描述的任務為何。 確定任務後，就要列出任務會用到的物件(即為物件節點)。 物件節點 ***************************************************** public class TestThermos {      public static void main(String[] args) {          HotWaterContainer h = new HotWaterContainer( 2 );          CoolWaterContainer c = new CoolWaterContainer( 50 );          ThermosGui g = new ThermosGui();          Thermos t = new Thermos(h, c, g);   ...
張貼留言
閱讀完整內容

[UML]學習筆記-狀態圖型(Statechart Diagrams)-10

定義 狀態圖型主要會應用到軟體系統中，某項任務的生命週期。任務的生命週期中，會有不同的狀態，藉由不同狀態的檢視，可以去檢查任務是否有未考慮的情況或是邏輯的謬誤。 上圖就是表示一個執行緒的生命週期，還有它本身的狀態變化。 另外，狀態的數量必須是有限的。 組成元素 狀態節點(State node) 狀態圖型主要使用兩個特定的符號來表示生命週期的開始與結束。 初始狀態(Initial State)，使用實心黑色的圓形。 結束狀態(Final State)，使用實心黑色的圓形，外層再包一圈空心的圓形。 除了開始和結束外，狀態節點就是表示生命週期的某一種狀態，它的節點內容包含兩個部分。 名稱區格(Name Compartment) 內部轉換區格(Internal Transition Compartment) 通常內部轉換區格會因簡化而省略。 下圖就是含有內部轉換區格的狀態圖型 接下來仔細解釋名稱區格以及內部轉換區格的定義 名稱區格 名稱區格的文字表示生命週期中的一個狀態，UML的規定並非必填，如果沒有填寫就稱為匿名狀態。 內部轉換區格 內部轉換區格主要用來表示狀態節點內部的轉換狀況，這個地方使用四個標籤來說明進入狀態節點後到離開狀態節點時，狀態節點內會做哪些動作。 entry: 進入狀態節點的動作 exit: 離開狀態節點時的動作 do: 停留在此狀態節點時執行的動作 自訂標籤: 使用下列格式來自訂標籤與動作 其實跟其他標籤格式差不多，除了標籤名稱外，就是有參數可以去填寫。 轉換(Transition) 在狀態圖型中，兩個狀態節點間的標示就稱為「轉換」，用來表示狀態節點間如何轉換過去的。 轉換標示的格式如下。 事件名稱: 通常會是物件/類別的方法名稱 參數: 可選擇性的宣告，就是傳遞給事件的參數 條件: 可選擇性地宣告，用來表示狀態轉換的條件 這邊用個修改紀錄的的狀態圖來做例子。 從這個例子可以看到[update record]的狀態可以經過update的事件後，來到達下一個狀態[record updated] 子狀態(Sub-State) 從之前開飲機的例子來說，狀態圖可以如下圖。 ...
張貼留言
閱讀完整內容

[UML]學習筆記-活動圖型(Activity Diagrams)-11(全系列結束)

定義 活動圖型是用來顯示軟體系統中特定的活動情形，和其他圖型最大的差異，就是它專注在「活動」上面，而不會去理會物件、類別相關的問題。 因此，活動圖型只關心活動的開始、過程、與結束，使用一般流程圖的方式來繪製就可以了。 譬如一個偵測溫度到自動加溫的活動流程。 活動圖型的用途 針對循序圖型中比較複雜的訊息傳遞加以說明 顯示狀態圖裡面較複雜的狀態轉換事件 說明合作圖型裡面的訊息 圖型組成的元素 活動圖型由下列的基本元素組成。 狀態與活動(State and Activity) 轉換(Transition) 分支(Branch) 分歧與結合(Fork and Join) 水道(Swimlane) 狀態與活動 狀態元素其實和狀態圖型中的開始與結束狀態是相同的，而活動則是圓角矩形來表示。 上圖如果轉成程式碼會是下面的樣子 轉換 轉換主要是一個箭號，用來連結活動圖型中的狀態與活動。只有在分支出來的箭頭才會在上面加上說明或是條件。 分支 分支會根據判斷式而導向不同的活動，分支後的轉換就需要加上說明或是條件。 水道 活動圖型中，活動流程可能很單純在一個方法或類別中就完成了，但是也有可能是由不同的角色去一起完成流程。 下圖是一個聊天的程式。 圖中，以Mary發訊息給[Chat Server]的流程來說，就需要使用不同的「水道」來區分不同角色所負責的活動。 水道也可以使用行為者標記來表示角色，這樣可以讓活動圖型更加清楚。像下圖就是是客戶去購買產品的活動流程。裡面的角色就包含了[客戶]、[服務中心]、以及[訂單系統] 分歧與結合 以聊天程式的客戶端來說，其實有同時執行兩個執行緒，一個是sender，用來傳送訊息，一個是receiver，用來接收chat server回傳的訊息，因此可以使用Fork來顯示這種同時進行的活動 在圖中，分岐的表示是使用一條粗黑線來分成兩個執行緒所做的事情。 結合的部分，就是要把分歧的活動再次結合成一個活動的表示方式。 上圖的計算機就是一個結合的典型例子，它裏頭的活動運作的加減乘除活動之後，均會顯示在一個統一的活動(螢幕顯示)上。 程式碼的...
張貼留言
閱讀完整內容