Когда сайт сам обращается к другому ресурсу
Импорт изображения, получение документа, интеграция или обработка заданного адреса могут требовать обращения от сервера. В этом случае запрос делает инфраструктура приложения с собственными возможностями доступа. Поэтому вопрос отличается от обычного перехода посетителя по ссылке.
OWASP описывает SSRF через использование приложения для взаимодействия с внутренними или внешними ресурсами. Начните с инвентаря функций, которые принимают назначение или влияют на него. Укажите владельца, ожидаемый сервис и допустимую рабочую цель.
Само наличие такой функции не доказывает уязвимость. Нужно проверить, кто управляет назначением, какие ограничения реально применяются и какие области остаются недоступными проверке. Название поля URL без описания поведения недостаточно.
Проверяйте назначение на всем пути
Разберите, как адрес обрабатывается приложением, преобразуется в сетевое назначение и используется при соединении. DNS и перенаправления способны изменить фактический путь. Проверка только первоначальной строки не устанавливает, куда приложение обратится дальше.
OWASP рассматривает контроль допустимых назначений и сетевые ограничения как связанные меры. Конкретный подход зависит от функции: известный набор партнерских сервисов и работа с произвольными внешними адресами имеют разные условия. Не переносите один список исключений между разными приложениями.
Уточните поведение клиента при перенаправлениях и изменениях разрешения имени. Для бизнес-проверки достаточно зафиксировать требуемую границу и владельца реализации. Испытания проводятся только в разрешенной среде с безопасными объектами и согласованными критериями.
Карта серверного обращения
Карта CyberFixCrew помогает соединить рабочую функцию с ее фактическими полномочиями. Она полезна при обсуждении с разработчиком и владельцем инфраструктуры: каждый видит свою часть, а не предполагает, что все уже закрыто на другом слое.
Для неизвестного поведения назначьте уточнение. Нельзя считать путь запрещенным только потому, что настройка называется безопасный режим. Нужен результат согласованной проверки и описание оставшихся исключений.
| Область | Рабочий вопрос | Подтверждение |
|---|---|---|
| Вход | Кто влияет на адрес | Роли и источники данных |
| Назначение | Какой сервис нужен функции | Допустимая область |
| Обработка | Как разбирается адрес | Понятный путь реализации |
| DNS и переходы | Как меняется конечный адрес | Проверка фактического назначения |
| Сеть | Куда разрешены обращения | Эффективные ограничения |
| Приемка | Работает ли нужный сценарий | Результат и исключения |
Почему WAF и браузерная политика не заменяют проверку
WAF может обрабатывать определенный входящий путь, но серверная функция имеет собственный сетевой контекст. Нельзя объявлять каждый исходящий запрос защищенным только из-за наличия фильтра перед сайтом. Уточняйте, какие слои действительно участвуют.
CSP относится к поведению браузера, а CSRF - к подтверждению запросов в другом контексте. Эти меры не являются универсальной заменой управления серверным назначением. Похожие сокращения полезно различать, прежде чем выбирать задачу для исправления.
Также недостаточно разрешить только внешний вид знакомого домена. Для результата нужно связать правило приложения с фактическим соединением и сетевым доступом. Проверка должна учитывать конкретную библиотеку, среду и рабочие зависимости.
Пример: импорт ресурса для рабочего процесса
Условное приложение импортирует изображение из согласованного партнерского сервиса. Владелец функции определяет допустимую область, разработчик уточняет обработку адреса, а инфраструктурный ответственный проверяет сетевые границы. После изменения проверяют и разрешенный сценарий, и согласованное ограничение.
Если для части переходов или сетевых путей данных нет, оставьте это в итоговой записи. Один успешный импорт не доказывает, что все неподходящие назначения закрыты. Неизвестное должно иметь владельца следующей проверки.
Как подготовить техническое обращение
Опишите функцию, ожидаемый ресурс и известную среду без секретов, внутренних адресов и активных тестовых строк. Согласуйте владельца, разрешения и критерии результата. Для действующей проблемы отдельно укажите наблюдаемый вред, не подменяя его одним названием SSRF.
CyberFixCrew - израильская компания по защите сайтов и цифровой инфраструктуры для русскоязычных бизнесов по всему миру. Применяем израильские знания в области кибербезопасности к приложениям, интеграциям и сетевым границам. Согласуем область проверки и приемку нужных рабочих функций.