Server tomonidan so'ralgan qalbakilashtirish - Server-side request forgery

Kompyuter xavfsizligi sohasida, server tomonidan so'rovni soxtalashtirish (SSRF) ning bir turi ekspluatatsiya bu erda tajovuzkor serverning funktsiyalarini suiiste'mol qilgan holda, ushbu server sohasidagi tajovuzkorga to'g'ridan-to'g'ri kirish imkoni bo'lmaydigan ma'lumotlarga kirish yoki manipulyatsiya qilishga olib keladi.^[1]

O'xshash saytlararo so'rovlarni qalbakilashtirish ishlatadigan a veb-mijoz, masalan, veb-brauzer, domen ichida hujumlar uchun proksi sifatida; SSRF hujumi domen ichida xavfli serverdan a sifatida foydalanadi ishonchli vakil.

Agar url parametrlari ushbu hujumga qarshi himoyasiz bo'lsa, tajovuzkor to'g'ridan-to'g'ri server bilan (masalan: 127.0.0.1 yoki localhost orqali) yoki tashqi foydalanuvchilar kira olmaydigan orqa serverlar bilan o'zaro ta'sir qilish usullarini o'ylab topishi mumkin. Hujumchi deyarli butun tarmoqni skanerlashi va maxfiy ma'lumotlarni olishlari mumkin.

SSRF turlari -

men. Asosiy SSRF: Bu erda tajovuzkorga javob ko'rsatiladi.

II. Blind SSRF: bu erda tajovuzkorga javob ko'rsatilmaydi. (Bir qarashda aniqlash qiyin)

Asosiy SSRF:

Ushbu turdagi hujumda javob tajovuzkorga ko'rsatiladi. Server tajovuzkor tomonidan so'ralgan URLni oladi va javobni tajovuzkorga qaytaradi.

Ko'zi ojiz SSRF:

Ushbu turdagi hujumda javob hujumchiga qaytarilmaydi. Shuning uchun tajovuzkor ushbu zaiflikni tasdiqlash usullarini o'ylab topishi kerak.

Adabiyotlar

Bu kompyuter xavfsizligi maqola a naycha. Siz Vikipediyaga yordam berishingiz mumkin uni kengaytirish.