PortSwigger · Server-Side Request Forgery (SSRF)
Teoría completa en Hacking web → SSRF.
Labs completados
| # | Lab | Tipo |
|---|---|---|
| 1 | Basic SSRF against the local server | Basic SSRF |
| 2 | Basic SSRF against another back-end system | Basic SSRF |
| 3 | Blind SSRF with out-of-band detection | Blind SSRF (OAST) |
Lo que me llevo
- Contra localhost: el parámetro
stockApirecibe una URL. La cambio porhttp://localhost/adminy el servidor me enseña un panel que desde fuera está bloqueado. Desde ahí,http://localhost/admin/delete?username=carlos. - Contra otro equipo interno: el panel está en una IP interna
192.168.0.X:8080. Con Burp Intruder pruebo los 255 valores del último octeto hasta que uno responde distinto. - Blind: la web hace una petición a la URL de la cabecera
Referersin mostrarme nada. Pongo mi dominio de Burp Collaborator y compruebo que llega la petición.
Cómo se arregla
- Lista blanca de destinos permitidos y bloqueo de rangos internos (
127.0.0.0/8,10.0.0.0/8,192.168.0.0/16,169.254.169.254). - No confiar solo en filtros de texto: se saltan con otras representaciones de la IP o redirecciones.