ابزار جدید فیس‌بوک برای مقابله با حملات SSRF
فیس‌بوک ابزار جدیدی توسعه داده است که با استفاده از آن می‌توان آسیب‌پذیری‌های SSRF را شناسایی کرد.
فیس‌بوک اعلام کرد ابزار جدیدی به نام داشبورد SSRF یا SSRF Dashboard طراحی کرده است که کارشناسان امنیت با استفاده از آن می‌توانند آسیب‌پذیری‌های SSRF را در اپلیکیشن خود شناسایی کنند.
تولید ریکوئست‌های جعلی سمت سرور یا همان SSRF، یک آسیب‌پذیری وب است که مهاجم با استفاده از آن می‌تواند کاری کند که اپلیکیشن سمت سرور، به دامنه‌ی دلخواه او ریکوئست‌های HTTP بفرستد.
در گزارش فیس‌بوک آمده است:
«در نمونه‌های رایج SSRF مهاجم سرور را وادار می‌کند که از طریق زیرساخت سازمان با دیگر سرویس‌های وب داخل سازمان اتصال برقرار کند. در بعضی موارد نیز سرور را مجبور می‌کند با سیستم‌های خارجی متفرقه اتصال برقرار کند که این مسئله باعث نشت داده‌های حساسی مثل اطلاعات دسترسی ادمین (authorization credentials) می‌شود».
با شرکت در دوره‌های تست نفوذ به جامعه کارشناسان امنیت بپیوندید:
فیس‌بوک در ادامه‌ی گزارش درباره‌ی این ابزار جدید گفته است:
«این ابزار یک UI ساده است که محققان با استفاده از آن می‌توانند به هر اندپوینت داخلی یک URL منحصر به فرد اختصاص دهند. سپس این UI تعداد دفعاتی را که بر روی URL مورد نظر در اثر یک حمله SSRF کلیک شده است، نشان می‌دهد. محققان می‌توانند این ابزار را برای اطمینان از موفقیت PoC (proof of concept) آسیب‌پذیری SSRF مورد نظرشان نیز به کار ببرند».
در واقع محققان می‌توانند با استفاده از داشبورد SSRF آدرس‌های URL منحصر به فردی برای اندپوینت داخلی بسازند که در جریان حملات SSRF توسط مهاجمان هدف قرار داده می‌شوند. این ابزار برای تست کد اکسپلویت PoC نیز کاربرد دارد.
کارشناسان تست نفوذ می‌توانند با ذکرکردن ID مربوط به URL مورد استفاده در حمله SSRF ( URL استفاده‌شده در کد PoC)، به راحتی حملات SSRF موفق خود را به سازمان هدف گزارش کنند.
