SSRF Validator

Le Server-Side Request Forgery (SSRF) est une vulnérabilité web critique qui permet aux attaquants d'induire l'application côté serveur à effectuer des requêtes HTTP vers une destination arbitraire choisie par l'attaquant. Classée dans le Top 10 de l'OWASP, la SSRF a été responsable de certaines des violations de sécurité cloud les plus significatives de ces dernières années, notamment la violation de Capital One en 2019 qui a exposé plus de 100 millions de dossiers clients. Ce tutoriel SSRF couvre les fondamentaux de cette classe d'attaque de plus en plus importante.

Comment fonctionnent les attaques SSRF

Les vulnérabilités SSRF surviennent lorsqu'une application web récupère une ressource distante basée sur une URL fournie par l'utilisateur sans validation appropriée. Les fonctionnalités couramment vulnérables incluent les générateurs d'aperçu d'URL, les gestionnaires de webhooks, les importateurs de fichiers et les moteurs de rendu PDF. Quand un attaquant peut contrôler l'URL de destination, il peut rediriger la requête du serveur vers des ressources internes non accessibles depuis Internet - comme les services de métadonnées cloud, les API internes, les bases de données et les panneaux d'administration. Le serveur agit comme un proxy, contournant les contrôles d'accès au niveau réseau.

Techniques d'attaque SSRF et méthodes de contournement

La SSRF basique implique l'accès à des adresses internes comme http://localhost ou http://169.254.169.254 (le point d'accès aux métadonnées cloud). Ce tutoriel SSRF couvre également les techniques de contournement avancées nécessaires lorsque les applications implémentent une validation d'URL. Celles-ci incluent l'utilisation de représentations IP alternatives (décimal, hexadécimal, octal), les attaques de DNS rebinding, les incohérences d'analyse d'URL, le changement de protocole (utilisation de gopher:// ou file://), et les contournements basés sur la redirection où le serveur de l'attaquant redirige vers une adresse interne. Chaque technique exploite différents aspects de la façon dont les applications analysent et valident les URL.

Impact sur les environnements cloud

La SSRF est particulièrement dévastatrice dans les environnements cloud. AWS, GCP et Azure fournissent tous des services de métadonnées d'instance accessibles via des adresses link-local. Une vulnérabilité SSRF dans une application hébergée dans le cloud peut permettre aux attaquants de voler des identifiants IAM, d'accéder aux données de configuration et de pivoter vers d'autres ressources cloud. La combinaison de la SSRF et des services de métadonnées cloud est devenue l'un des schémas d'attaque les plus critiques en cybersécurité moderne, faisant du test SSRF une compétence essentielle pour les testeurs d'intrusion et les ingénieurs en sécurité.